Zyxel усунула вразливість нульового дня в комутаторах GS1900
Zyxel випустила оновлення для вразливості нульового дня у комутаторах GS1900, яку використали для атак на 996 пристроїв.
Компанія Zyxel випустила оновлення безпеки для вразливості нульового дня CVE-2026-107441 у мережевих комутаторах серії GS1900. Її використовували зловмисники для компрометації майже 1 тисячі пристроїв у різних країнах і викрадення конфігураційних файлів та облікових даних.
Як повідомляє BleepingComputer, проблема пов’язана із записом даних за межі буфера у вебінтерфейсі керування комутаторами. Неавтентифікований атакувальник, який має мережевий доступ до пристрою, міг надсилати спеціально сформовані HTTP-запити та виконувати команди операційної системи.
Масштаб атак
Вразливість зачіпає десять моделей GS1900. За даними компанії GreyNoise, приблизно з 17 серпня угруповання, яке відстежують під назвою Kapibala та пов’язують із китайськомовними зловмисниками, скомпрометувало 996 пристроїв у 48 країнах.
Після віддаленого виконання команд атакувальники завантажували скрипт для збирання конфігурацій пристроїв, хешованих облікових даних root і відомостей про мережу. GreyNoise також пов’язала Kapibala з хакерською кампанією Red Heron.
Попереднє оновлення не зупинило експлойт
У червні Zyxel вже випускала виправлення для CVE-2026-7273 — іншої вразливості переповнення буфера до автентифікації, яка стосувалася тих самих комутаторів. Коли GreyNoise у вересні розкрила кампанію, експлуатацію спочатку пов’язали саме з цією помилкою. Того ж дня Агентство з кібербезпеки та безпеки інфраструктури США внесло CVE-2026-7273 до каталогу відомих уразливленостей, що активно експлуатуються.
Однак дослідники Binarly встановили, що застосований у атаках експлойт використовував окрему, на той час невідому вразливість. Вони виявили заархівований обфускований Python-експлойт, який перевіряв версії прошивки, уже оновлені для CVE-2026-7273. За висновком Binarly, виправлення від червня можна було обійти через пошкодження лічильника параметрів до його перевірки.
Zyxel підтвердила нову проблему 11 жовтня та присвоїла їй ідентифікатор CVE-2026-107441. Оновлення, оприлюднене 22 жовтня, обмежує розмір параметрів і перевіряє їхню кількість до копіювання даних у пам’ять. Адміністраторам уражених комутаторів радять встановити актуальну версію прошивки.
