Analyse
Zyxel corrige le zéro-day CVE-2026-107441 des switchs GS1900, exploité contre près de 1 000 appareils
Binarly dit que l'exploit contre près de 1 000 switchs Zyxel GS1900 passait le correctif de juin. Le Patch 3 corrige la faille CVE-2026-107441.
Zyxel a publié le 3 novembre 2026 un avis de sécurité pour CVE-2026-107441, une faille des switchs GS1900 que Binarly dit avoir été exploitée en zéro-day contre près de 1 000 appareils. Un zéro-day est une faille exploitée avant qu'un correctif ne la couvre. Les attaques avaient d'abord été attribuées à CVE-2026-7273, corrigée en juin ; Binarly montre que ce correctif (Patch 2) n'arrêtait pas l'exploit. Le firmware qui corrige la faille est le 2.90 Patch 3, publié fin octobre.
L'essentiel
- Ce qui est établi : une écriture hors limites dans le programme CGI du firmware permet à un attaquant non authentifié d'exécuter des commandes du système via des requêtes HTTP ; score CVSS de 8,8 chez Zyxel ; dix modèles touchés.
- Ce qu'il faut faire : installer le build Patch 3 de son modèle. Le Patch 2 et les versions antérieures restent vulnérables, et aucun contournement n'est indiqué.
- Ce qui n'est pas établi : si le Patch 2 était un correctif incomplet ou si les attaquants visaient une autre faille que celle listée par la CISA. L'avis de Zyxel ne dit pas si la nouvelle faille a été exploitée.
- Un piège : 564 des 996 switchs compromis utilisaient encore les identifiants d'usine, selon GreyNoise.
Que s'est-il passé, du correctif de juin à celui d'octobre ?
- 16 juin : Zyxel publie un avis pour CVE-2026-7273 (firmware Patch 2).
- Vers le 17 août : début de l'activité observée par GreyNoise contre des switchs GS1900.
- 21 septembre : GreyNoise publie son rapport (996 switchs dans 48 pays) ; la CISA ajoute CVE-2026-7273 à son catalogue des failles exploitées (KEV), avec échéance au 24 septembre.
- 28 et 29 septembre : Binarly confirme que l'exploit fonctionne contre les dix firmwares du Patch 2, puis signale la faille à Zyxel, qui la confirme le 11 octobre (BleepingComputer).
- 22 ou 23 octobre : Zyxel publie le Patch 3. SecurityWeek et The Hacker News donnent le 23, BleepingComputer le 22.
- 3 novembre : Zyxel publie son avis et Binarly son rapport.
Pourquoi le correctif de juin n'a-t-il pas suffi ?
En enquêtant sur une infrastructure liée à la porte dérobée JITTERLY, Binarly a trouvé une archive exposée contenant un exploit Python obscurci. Cet exploit vérifiait la version du firmware, y compris les versions déjà corrigées de CVE-2026-7273. Selon Binarly, la faille est une écriture hors limites dans le gestionnaire de requêtes web : le Patch 2 ajoutait un contrôle du nombre de paramètres, mais la taille de chaque paramètre HTTP n'était pas vérifiée correctement. Zyxel traite ce défaut comme une faille distincte, d'où le nouveau CVE. Le Patch 3 limite la taille des paramètres et contrôle leur nombre avant de copier les données en mémoire.
Binarly propose deux lectures : le Patch 2 était un correctif incomplet, ou les attaques ont utilisé une autre faille que celle listée par la CISA. Selon BleepingComputer, on ignore si l'exploit a été conçu exprès pour contourner les mises à jour ou s'il vise une faille voisine qu'elles n'avaient pas corrigée. Binarly prévoit de publier une preuve de concept plus courte.
Sur la gravité, Binarly note 9,8 et la fiche du fournisseur dans la NVD 8,8. Zyxel décrit un attaquant non authentifié sur le réseau local ; Binarly, un attaquant qui a seulement besoin d'atteindre le service de gestion par le réseau.
Quels modèles sont touchés, et que faire ?
Chacun des dix modèles ci-dessous, avec le firmware du Patch 2 ou une version antérieure, doit passer au build Patch 3 correspondant. Le tableau est repris de The Hacker News : vérifiez-le dans l'avis de Zyxel.
| Modèle | Firmware vulnérable (Patch 2 ou antérieur) | Firmware corrigé (Patch 3) |
|---|---|---|
| GS1900-8 | 2.90(AAHH.2)C0 | 2.90(AAHH.3)C0 |
| GS1900-8HP | 2.90(AAHI.2)C0 | 2.90(AAHI.3)C0 |
| GS1900-10HP | 2.90(AAZI.2)C0 | 2.90(AAZI.3)C0 |
| GS1900-16 | 2.90(AAHJ.2)C0 | 2.90(AAHJ.3)C0 |
| GS1900-24 | 2.90(AAHL.2)C0 | 2.90(AAHL.3)C0 |
| GS1900-24E | 2.90(AAHK.2)C0 | 2.90(AAHK.3)C0 |
| GS1900-24EP | 2.90(ABTO.2)C0 | 2.90(ABTO.3)C0 |
| GS1900-24HPv2 | 2.90(ABTP.2)C0 | 2.90(ABTP.3)C0 |
| GS1900-48 | 2.90(AAHN.2)C0 | 2.90(AAHN.3)C0 |
| GS1900-48HPv2 | 2.90(ABTQ.2)C0 | 2.90(ABTQ.3)C0 |
Zyxel ne dit pas si la mise à jour supprime un accès déjà obtenu par un attaquant, ni comment vérifier qu'un switch a été compromis. Comme bonne pratique générale, absente de l'avis, The Hacker News conseille de changer les identifiants d'usine et de limiter l'accès à l'interface d'administration.
Que prenaient les attaquants ?
Selon GreyNoise, relayé par The Hacker News, les attaquants déposaient un script de collecte qui récupérait les configurations des switchs, les identifiants root hachés et des informations sur le réseau. GreyNoise relie l'activité à un groupe sinophone que la société Acronis suit sous le nom de Red Heron ; Binarly dit avoir vu des variantes des logiciels malveillants Jitterly et Sixzut. GreyNoise n'a pas précisé les versions de firmware visées ni la voie d'attaque. Au moment de The Hacker News, CVE-2026-107441 ne figurait pas dans le catalogue KEV de la CISA.
Questions fréquentes
Mon switch est-il protégé s'il a le correctif de juin ?
Non, selon Binarly : l'exploit fonctionne sans modification contre le Patch 2. Il faut installer le Patch 3 de votre modèle.
Est-ce vraiment un zéro-day ?
Binarly et la presse le décrivent ainsi : exploité avant qu'un correctif existe. Zyxel traite la faille comme distincte de CVE-2026-7273, et son avis ne dit pas si elle a été exploitée. Les deux lectures du Patch 2 (correctif raté ou autre faille) restent ouvertes.
Méthode et limites
Sources au 5 novembre 2026. Nous n'avons rien testé ni lu l'avis de Zyxel directement ; les analyses techniques sont celles de Binarly, non vérifiées de façon indépendante, et le tableau des firmwares vient de The Hacker News. Les sources divergent sur la date du correctif (22 ou 23 octobre) et sur la gravité (8,8 ou 9,8).
Sources
- SecurityWeek : Zyxel switch hacks blamed on patched flaw actually exploited a zero-day (vérifié le 2026-11-05)
- BleepingComputer : Zyxel fixes zero-day exploited to hack nearly 1,000 network switches (vérifié le 2026-11-05)
- The Hacker News : Zyxel GS1900 patch fails to block zero-day exploit (vérifié le 2026-11-05)
- Help Net Security : attacker compromised nearly 1000 Zyxel switches since August (vérifié le 2026-11-05)
- Zyxel : avis de sécurité pour CVE-2026-7273 (vérifié le 2026-11-05)
Une erreur dans cet article ? Signalez-la · Notre politique de corrections
