Analyse
Zyxel schließt die Zero-Day-Lücke CVE-2026-107441 in GS1900-Switches, ausgenutzt gegen fast 1.000 Geräte
Binarly sagt, der Exploit gegen fast 1.000 Zyxel-GS1900-Switches umging den Juni-Patch. Patch 3 schließt die Lücke CVE-2026-107441.
Am 3. November 2026 veröffentlichte Zyxel eine Sicherheitsmitteilung zu CVE-2026-107441, einer Lücke in GS1900-Switches, die laut Binarly als Zero-Day gegen fast 1.000 Geräte ausgenutzt wurde. Ein Zero-Day ist eine Lücke, die ausgenutzt wird, bevor ein Fix sie abdeckt. Die Angriffe wurden zunächst CVE-2026-7273 zugeschrieben, im Juni behoben; Binarly zeigt, dass dieser Fix (Patch 2) den Exploit nicht stoppte. Die Firmware, die die Lücke schließt, ist 2.90 Patch 3, Ende Oktober veröffentlicht.
Das Wesentliche
- Was belegt ist: Ein Schreibzugriff außerhalb der Grenzen im CGI-Programm der Firmware erlaubt einem nicht authentifizierten Angreifer, über HTTP-Anfragen Betriebssystembefehle auszuführen; Zyxel bewertet sie mit CVSS 8,8; zehn Modelle betroffen.
- Was zu tun ist: Das Patch-3-Build des eigenen Modells installieren. Patch 2 und frühere Versionen bleiben verwundbar, eine Übergangslösung wird nicht genannt.
- Was nicht belegt ist: ob Patch 2 ein unvollständiger Fix war oder die Angreifer eine andere Lücke als die von der CISA gelistete nutzten. Zyxels Mitteilung sagt nicht, ob die neue Lücke ausgenutzt wurde.
- Ein Haken: 564 der 996 kompromittierten Switches nutzten laut GreyNoise noch die Werkszugangsdaten.
Was geschah zwischen dem Fix im Juni und dem im Oktober?
- 16. Juni: Zyxel veröffentlicht eine Mitteilung zu CVE-2026-7273 (Firmware Patch 2).
- Um den 17. August: Beginn der von GreyNoise beobachteten Aktivität gegen GS1900-Switches.
- 21. September: GreyNoise veröffentlicht seinen Bericht (996 Switches in 48 Ländern); die CISA nimmt CVE-2026-7273 in ihren Katalog ausgenutzter Schwachstellen (KEV) auf, Frist 24. September.
- 28. und 29. September: Binarly bestätigt, dass der Exploit gegen alle zehn Patch-2-Firmwares funktioniert, und meldet die Lücke Zyxel, das sie am 11. Oktober bestätigt (BleepingComputer).
- 22. oder 23. Oktober: Zyxel veröffentlicht Patch 3. SecurityWeek und The Hacker News nennen den 23., BleepingComputer den 22.
- 3. November: Zyxel veröffentlicht seine Mitteilung und Binarly seinen Bericht.
Warum reichte der Juni-Fix nicht aus?
Bei Untersuchungen zu einer Infrastruktur, die mit der JITTERLY-Backdoor verbunden ist, fand Binarly ein offen zugängliches Archiv mit einem verschleierten Python-Exploit. Der Exploit prüfte die Firmware-Version, einschließlich der bereits für CVE-2026-7273 behobenen Stände. Laut Binarly handelt es sich um einen Schreibzugriff außerhalb der Grenzen im Web-Anfrage-Handler: Patch 2 fügte eine Prüfung der Parameteranzahl hinzu, doch die Größe jedes HTTP-Parameters wurde nicht richtig geprüft. Zyxel behandelt diese Lücke als eigenständige Schwachstelle, daher die neue CVE. Patch 3 begrenzt die Parametergrößen und prüft ihre Anzahl, bevor Daten in den Speicher kopiert werden.
Binarly bietet zwei Lesarten: Patch 2 war ein unvollständiger Fix, oder die Angriffe nutzten eine andere Lücke als die von der CISA gelistete. Laut BleepingComputer ist unklar, ob der Exploit gezielt zum Umgehen der Updates gebaut wurde oder eine verwandte Lücke trifft, die sie nicht behoben hatten. Binarly plant, einen kürzeren Proof of Concept zu veröffentlichen.
Zur Schwere: Binarly vergibt 9,8, der Eintrag des Herstellers in der NVD 8,8. Zyxel beschreibt einen nicht authentifizierten Angreifer im lokalen Netz; Binarly einen Angreifer, der den Verwaltungsdienst nur über das Netz erreichen muss.
Welche Modelle sind betroffen, und was ist zu tun?
Jedes der zehn folgenden Modelle mit Firmware Patch 2 oder älter braucht das passende Patch-3-Build. Die Tabelle stammt von The Hacker News: bitte in Zyxels Mitteilung gegenprüfen.
| Modell | Anfällige Firmware (Patch 2 oder älter) | Behobene Firmware (Patch 3) |
|---|---|---|
| GS1900-8 | 2.90(AAHH.2)C0 | 2.90(AAHH.3)C0 |
| GS1900-8HP | 2.90(AAHI.2)C0 | 2.90(AAHI.3)C0 |
| GS1900-10HP | 2.90(AAZI.2)C0 | 2.90(AAZI.3)C0 |
| GS1900-16 | 2.90(AAHJ.2)C0 | 2.90(AAHJ.3)C0 |
| GS1900-24 | 2.90(AAHL.2)C0 | 2.90(AAHL.3)C0 |
| GS1900-24E | 2.90(AAHK.2)C0 | 2.90(AAHK.3)C0 |
| GS1900-24EP | 2.90(ABTO.2)C0 | 2.90(ABTO.3)C0 |
| GS1900-24HPv2 | 2.90(ABTP.2)C0 | 2.90(ABTP.3)C0 |
| GS1900-48 | 2.90(AAHN.2)C0 | 2.90(AAHN.3)C0 |
| GS1900-48HPv2 | 2.90(ABTQ.2)C0 | 2.90(ABTQ.3)C0 |
Zyxel sagt nicht, ob das Update einen bereits erlangten Zugang eines Angreifers entfernt, noch wie man prüft, ob ein Switch kompromittiert wurde. Als allgemeine Praxis, die in der Mitteilung fehlt, rät The Hacker News, Werkszugangsdaten zu ändern und den Zugriff auf die Verwaltungsoberfläche zu begrenzen.
Was nahmen die Angreifer mit?
Laut GreyNoise, wiedergegeben von The Hacker News, legten die Angreifer ein Sammelskript ab, das Switch-Konfigurationen, gehashte Root-Zugangsdaten und Netzwerkinformationen einsammelte. GreyNoise bringt die Aktivität mit einer chinesischsprachigen Gruppe in Verbindung, die Acronis als Red Heron verfolgt; Binarly sagt, es habe Varianten der Malware Jitterly und Sixzut gesehen. GreyNoise nannte weder die anvisierten Firmware-Versionen noch den Angriffsweg. Zum Zeitpunkt des Artikels von The Hacker News stand CVE-2026-107441 nicht im KEV-Katalog der CISA.
Häufig gestellte Fragen
Ist mein Switch mit dem Juni-Fix geschützt?
Nein, laut Binarly: Der Exploit funktioniert unverändert gegen Patch 2. Installieren Sie Patch 3 für Ihr Modell.
Ist es wirklich ein Zero-Day?
Binarly und die Presse beschreiben es so: ausgenutzt, bevor ein Fix existierte. Zyxel behandelt die Lücke als getrennt von CVE-2026-7273, und seine Mitteilung sagt nicht, ob sie ausgenutzt wurde. Beide Lesarten von Patch 2 (misslungener Fix oder andere Lücke) bleiben offen.
Methode und Grenzen
Quellen Stand 5. November 2026. Wir haben nichts getestet und Zyxels Mitteilung nicht direkt gelesen; die technische Analyse stammt von Binarly und ist nicht unabhängig überprüft, die Firmware-Tabelle von The Hacker News. Die Quellen weichen beim Patch-Datum (22. oder 23. Oktober) und bei der Schwere (8,8 oder 9,8) voneinander ab.
Quellen
- SecurityWeek: Zyxel switch hacks blamed on patched flaw actually exploited a zero-day (geprüft am 05.11.2026)
- BleepingComputer: Zyxel fixes zero-day exploited to hack nearly 1,000 network switches (geprüft am 05.11.2026)
- The Hacker News: Zyxel GS1900 patch fails to block zero-day exploit (geprüft am 05.11.2026)
- Help Net Security: attacker compromised nearly 1000 Zyxel switches since August (geprüft am 05.11.2026)
- Zyxel: Sicherheitsmitteilung zu CVE-2026-7273 (geprüft am 05.11.2026)
Einen Fehler in diesem Artikel entdeckt? Melden Sie ihn · Unsere Korrekturrichtlinie
