Analisi
Zyxel corregge lo zero-day CVE-2026-107441 degli switch GS1900, sfruttato contro quasi 1.000 dispositivi
Binarly dice che l'exploit usato contro quasi 1.000 switch Zyxel GS1900 superava la correzione di giugno. La Patch 3 chiude la falla CVE-2026-107441.
Il 3 novembre 2026 Zyxel ha pubblicato un avviso di sicurezza per CVE-2026-107441, una falla degli switch GS1900 che secondo Binarly è stata sfruttata come zero-day contro quasi 1.000 dispositivi. Uno zero-day è una falla sfruttata prima che una correzione la copra. Gli attacchi erano stati attribuiti in un primo momento a CVE-2026-7273, corretta a giugno; Binarly mostra che quella correzione (Patch 2) non fermava l'exploit. Il firmware che chiude la falla è il 2.90 Patch 3, pubblicato a fine ottobre.
L'essenziale
- Ciò che è accertato: una scrittura fuori dai limiti nel programma CGI del firmware permette a un attaccante non autenticato di eseguire comandi di sistema tramite richieste HTTP; Zyxel la valuta CVSS 8,8; dieci modelli interessati.
- Che cosa fare: installare la build Patch 3 del proprio modello. La Patch 2 e le versioni precedenti restano vulnerabili e non è indicato alcun rimedio provvisorio.
- Ciò che non è accertato: se la Patch 2 fosse una correzione incompleta o se gli attaccanti abbiano usato una falla diversa da quella elencata dalla CISA. L'avviso di Zyxel non dice se la nuova falla sia stata sfruttata.
- Un'insidia: 564 dei 996 switch compromessi usavano ancora le credenziali di fabbrica, secondo GreyNoise.
Che cosa è successo tra la correzione di giugno e quella di ottobre?
- 16 giugno: Zyxel pubblica un avviso per CVE-2026-7273 (firmware Patch 2).
- Intorno al 17 agosto: inizio dell'attività osservata da GreyNoise contro switch GS1900.
- 21 settembre: GreyNoise pubblica il suo rapporto (996 switch in 48 paesi); la CISA aggiunge CVE-2026-7273 al catalogo delle vulnerabilità sfruttate (KEV), con scadenza al 24 settembre.
- 28 e 29 settembre: Binarly conferma che l'exploit funziona contro tutti e dieci i firmware della Patch 2, poi segnala la falla a Zyxel, che la conferma l'11 ottobre (BleepingComputer).
- 22 o 23 ottobre: Zyxel pubblica la Patch 3. SecurityWeek e The Hacker News indicano il 23, BleepingComputer il 22.
- 3 novembre: Zyxel pubblica il suo avviso e Binarly il suo rapporto.
Perché la correzione di giugno non è bastata?
Indagando su un'infrastruttura legata alla backdoor JITTERLY, Binarly ha trovato un archivio esposto con un exploit Python offuscato. L'exploit controllava la versione del firmware, comprese quelle già corrette per CVE-2026-7273. Secondo Binarly, la falla è una scrittura fuori dai limiti nel gestore delle richieste web: la Patch 2 aggiungeva un controllo sul numero di parametri, ma la dimensione di ogni parametro HTTP non veniva verificata correttamente. Zyxel tratta questa lacuna come una falla distinta, da cui il nuovo CVE. La Patch 3 limita la dimensione dei parametri e ne controlla il numero prima di copiare i dati in memoria.
Binarly propone due letture: la Patch 2 era una correzione incompleta, oppure gli attacchi hanno usato una falla diversa da quella elencata dalla CISA. Secondo BleepingComputer, non è chiaro se l'exploit sia stato creato apposta per aggirare gli aggiornamenti o prenda di mira una falla affine che questi non avevano corretto. Binarly prevede di pubblicare una proof of concept più breve.
Sulla gravità, Binarly assegna 9,8 e la scheda del produttore nella NVD 8,8. Zyxel descrive un attaccante non autenticato sulla rete locale; Binarly un attaccante che deve solo raggiungere via rete il servizio di gestione.
Quali modelli sono interessati e che cosa fare?
Ciascuno dei dieci modelli seguenti, con firmware Patch 2 o precedente, richiede la build Patch 3 corrispondente. La tabella proviene da The Hacker News: verificatela nell'avviso di Zyxel.
| Modello | Firmware vulnerabile (Patch 2 o precedente) | Firmware corretto (Patch 3) |
|---|---|---|
| GS1900-8 | 2.90(AAHH.2)C0 | 2.90(AAHH.3)C0 |
| GS1900-8HP | 2.90(AAHI.2)C0 | 2.90(AAHI.3)C0 |
| GS1900-10HP | 2.90(AAZI.2)C0 | 2.90(AAZI.3)C0 |
| GS1900-16 | 2.90(AAHJ.2)C0 | 2.90(AAHJ.3)C0 |
| GS1900-24 | 2.90(AAHL.2)C0 | 2.90(AAHL.3)C0 |
| GS1900-24E | 2.90(AAHK.2)C0 | 2.90(AAHK.3)C0 |
| GS1900-24EP | 2.90(ABTO.2)C0 | 2.90(ABTO.3)C0 |
| GS1900-24HPv2 | 2.90(ABTP.2)C0 | 2.90(ABTP.3)C0 |
| GS1900-48 | 2.90(AAHN.2)C0 | 2.90(AAHN.3)C0 |
| GS1900-48HPv2 | 2.90(ABTQ.2)C0 | 2.90(ABTQ.3)C0 |
Zyxel non dice se l'aggiornamento elimini un accesso già ottenuto da un attaccante, né come verificare se uno switch sia stato compromesso. Come buona pratica generale, assente dall'avviso, The Hacker News consiglia di cambiare le credenziali di fabbrica e di limitare l'accesso all'interfaccia di amministrazione.
Che cosa prendevano gli attaccanti?
Secondo GreyNoise, riportata da The Hacker News, gli attaccanti installavano uno script di raccolta che recuperava le configurazioni degli switch, le credenziali root in forma di hash e informazioni di rete. GreyNoise collega l'attività a un gruppo di lingua cinese che Acronis traccia come Red Heron; Binarly dice di aver visto varianti dei malware Jitterly e Sixzut. GreyNoise non ha precisato le versioni di firmware prese di mira né la via d'attacco. Al momento dell'articolo di The Hacker News, CVE-2026-107441 non figurava nel catalogo KEV della CISA.
Domande frequenti
Il mio switch è protetto se ha la correzione di giugno?
No, secondo Binarly: l'exploit funziona senza modifiche contro la Patch 2. Installate la Patch 3 del vostro modello.
È davvero uno zero-day?
Binarly e la stampa lo descrivono così: sfruttato prima che esistesse una correzione. Zyxel tratta la falla come distinta da CVE-2026-7273 e il suo avviso non dice se sia stata sfruttata. Le due letture della Patch 2 (correzione fallita o altra falla) restano aperte.
Metodo e limiti
Fonti al 5 novembre 2026. Non abbiamo testato nulla né letto direttamente l'avviso di Zyxel; l'analisi tecnica è di Binarly, non verificata in modo indipendente, e la tabella dei firmware proviene da The Hacker News. Le fonti divergono sulla data della correzione (22 o 23 ottobre) e sulla gravità (8,8 o 9,8).
Fonti
- SecurityWeek: Zyxel switch hacks blamed on patched flaw actually exploited a zero-day (verificato il 2026-11-05)
- BleepingComputer: Zyxel fixes zero-day exploited to hack nearly 1,000 network switches (verificato il 2026-11-05)
- The Hacker News: Zyxel GS1900 patch fails to block zero-day exploit (verificato il 2026-11-05)
- Help Net Security: attacker compromised nearly 1000 Zyxel switches since August (verificato il 2026-11-05)
- Zyxel: avviso di sicurezza per CVE-2026-7273 (verificato il 2026-11-05)
Avete notato un errore in questo articolo? Segnalatelo · La nostra politica sulle correzioni
