Análisis
Zyxel corrige el zero-day CVE-2026-107441 de los switches GS1900, explotado contra casi 1000 dispositivos
Binarly dice que el exploit usado contra casi 1000 switches Zyxel GS1900 superaba la corrección de junio. El Patch 3 cierra el fallo CVE-2026-107441.
El 3 de noviembre de 2026, Zyxel publicó un aviso de seguridad para CVE-2026-107441, un fallo de los switches GS1900 que, según Binarly, se explotó como zero-day contra casi 1000 dispositivos. Un zero-day es un fallo explotado antes de que exista una corrección que lo cubra. Los ataques se atribuyeron primero a CVE-2026-7273, corregido en junio; Binarly muestra que esa corrección (Patch 2) no detenía el exploit. El firmware que cierra el fallo es el 2.90 Patch 3, publicado a finales de octubre.
Lo esencial
- Lo que está establecido: una escritura fuera de límites en el programa CGI del firmware permite a un atacante sin autenticar ejecutar comandos del sistema mediante peticiones HTTP; Zyxel lo puntúa con CVSS 8,8; diez modelos afectados.
- Qué hacer: instalar la versión Patch 3 de su modelo. El Patch 2 y las anteriores siguen siendo vulnerables, y no se indica ninguna solución provisional.
- Lo que no está establecido: si el Patch 2 era una corrección incompleta o si los atacantes usaron otro fallo distinto del que listó la CISA. El aviso de Zyxel no dice si el nuevo fallo fue explotado.
- Un detalle importante: 564 de los 996 switches comprometidos seguían con las credenciales de fábrica, según GreyNoise.
¿Qué pasó entre la corrección de junio y la de octubre?
- 16 de junio: Zyxel publica un aviso para CVE-2026-7273 (firmware Patch 2).
- Hacia el 17 de agosto: comienza la actividad que GreyNoise observó contra switches GS1900.
- 21 de septiembre: GreyNoise publica su informe (996 switches en 48 países); la CISA añade CVE-2026-7273 a su catálogo de vulnerabilidades explotadas (KEV), con plazo hasta el 24 de septiembre.
- 28 y 29 de septiembre: Binarly confirma que el exploit funciona contra los diez firmwares del Patch 2 y luego informa del fallo a Zyxel, que lo confirma el 11 de octubre (BleepingComputer).
- 22 o 23 de octubre: Zyxel publica el Patch 3. SecurityWeek y The Hacker News dan el 23; BleepingComputer, el 22.
- 3 de noviembre: Zyxel publica su aviso y Binarly su informe.
¿Por qué no bastó la corrección de junio?
Al investigar una infraestructura vinculada a la puerta trasera JITTERLY, Binarly encontró un archivo expuesto con un exploit en Python ofuscado. Ese exploit comprobaba la versión del firmware, incluidas las versiones ya corregidas de CVE-2026-7273. Según Binarly, el fallo es una escritura fuera de límites en el gestor de peticiones web: el Patch 2 añadía una comprobación del número de parámetros, pero el tamaño de cada parámetro HTTP no se verificaba bien. Zyxel trata esa carencia como un fallo distinto, de ahí el nuevo CVE. El Patch 3 limita el tamaño de los parámetros y comprueba su número antes de copiar datos en memoria.
Binarly propone dos lecturas: el Patch 2 era una corrección incompleta, o los ataques usaron otro fallo distinto del que listó la CISA. Según BleepingComputer, no está claro si el exploit se diseñó a propósito para eludir las actualizaciones o apunta a un fallo cercano que no habían corregido. Binarly prevé publicar una prueba de concepto más corta.
Sobre la gravedad, Binarly le da 9,8 y la ficha del fabricante en la NVD, 8,8. Zyxel describe a un atacante sin autenticar en la red local; Binarly, a un atacante que solo necesita alcanzar por red el servicio de gestión.
¿Qué modelos están afectados y qué hacer?
Cada uno de los diez modelos siguientes, con firmware Patch 2 o anterior, necesita la versión Patch 3 correspondiente. La tabla procede de The Hacker News: compruébela en el aviso de Zyxel.
| Modelo | Firmware vulnerable (Patch 2 o anterior) | Firmware corregido (Patch 3) |
|---|---|---|
| GS1900-8 | 2.90(AAHH.2)C0 | 2.90(AAHH.3)C0 |
| GS1900-8HP | 2.90(AAHI.2)C0 | 2.90(AAHI.3)C0 |
| GS1900-10HP | 2.90(AAZI.2)C0 | 2.90(AAZI.3)C0 |
| GS1900-16 | 2.90(AAHJ.2)C0 | 2.90(AAHJ.3)C0 |
| GS1900-24 | 2.90(AAHL.2)C0 | 2.90(AAHL.3)C0 |
| GS1900-24E | 2.90(AAHK.2)C0 | 2.90(AAHK.3)C0 |
| GS1900-24EP | 2.90(ABTO.2)C0 | 2.90(ABTO.3)C0 |
| GS1900-24HPv2 | 2.90(ABTP.2)C0 | 2.90(ABTP.3)C0 |
| GS1900-48 | 2.90(AAHN.2)C0 | 2.90(AAHN.3)C0 |
| GS1900-48HPv2 | 2.90(ABTQ.2)C0 | 2.90(ABTQ.3)C0 |
Zyxel no dice si la actualización elimina un acceso que el atacante ya hubiera obtenido, ni cómo comprobar si un switch fue comprometido. Como buena práctica general, ausente del aviso, The Hacker News aconseja cambiar las credenciales de fábrica y limitar el acceso a la interfaz de administración.
¿Qué se llevaban los atacantes?
Según GreyNoise, recogido por The Hacker News, los atacantes dejaban un script de recopilación que obtenía las configuraciones de los switches, las credenciales root en forma de hash e información de red. GreyNoise vincula la actividad con un grupo de habla china que Acronis rastrea como Red Heron; Binarly dice haber visto variantes del malware Jitterly y Sixzut. GreyNoise no precisó las versiones de firmware atacadas ni la vía de ataque. Cuando The Hacker News publicó su artículo, CVE-2026-107441 no figuraba en el catálogo KEV de la CISA.
Preguntas frecuentes
¿Mi switch está protegido si tiene la corrección de junio?
No, según Binarly: el exploit funciona sin cambios contra el Patch 2. Instale el Patch 3 de su modelo.
¿Es realmente un zero-day?
Binarly y la prensa lo describen así: explotado antes de que existiera una corrección. Zyxel trata el fallo como distinto de CVE-2026-7273 y su aviso no dice si fue explotado. Las dos lecturas del Patch 2 (corrección fallida u otro fallo) siguen abiertas.
Método y límites
Fuentes a 5 de noviembre de 2026. No probamos nada ni leímos directamente el aviso de Zyxel; el análisis técnico es de Binarly, no verificado de forma independiente, y la tabla de firmwares procede de The Hacker News. Las fuentes difieren en la fecha de la corrección (22 o 23 de octubre) y en la gravedad (8,8 o 9,8).
Fuentes
- SecurityWeek: Zyxel switch hacks blamed on patched flaw actually exploited a zero-day (verificado el 05-11-2026)
- BleepingComputer: Zyxel fixes zero-day exploited to hack nearly 1,000 network switches (verificado el 05-11-2026)
- The Hacker News: Zyxel GS1900 patch fails to block zero-day exploit (verificado el 05-11-2026)
- Help Net Security: attacker compromised nearly 1000 Zyxel switches since August (verificado el 05-11-2026)
- Zyxel: aviso de seguridad para CVE-2026-7273 (verificado el 05-11-2026)
¿Ha detectado un error en este artículo? Comuníquenoslo · Nuestra política de correcciones
