分析
ZyxelがGS1900スイッチのゼロデイ脆弱性CVE-2026-107441を修正、約1000台への攻撃に悪用
Binarlyは、約1000台のZyxel GS1900への攻撃は6月の修正を突破したと述べる。Patch 3が脆弱性CVE-2026-107441を塞ぐ。
Zyxelは2026年11月3日、GS1900スイッチの脆弱性CVE-2026-107441についてセキュリティアドバイザリを公開した。Binarlyは、この脆弱性がゼロデイとして約1000台への攻撃に悪用されたと述べている。ゼロデイとは、修正が存在しない段階で悪用される脆弱性のことだ。攻撃は当初、6月に修正されたCVE-2026-7273によるものとされていた。Binarlyは、その修正（Patch 2）ではこのエクスプロイトを止められなかったと示している。脆弱性を塞ぐファームウェアは10月下旬に公開された2.90 Patch 3である。
要点
- 確認されていること：ファームウェアのCGIプログラムにある境界外書き込みにより、認証されていない攻撃者がHTTPリクエストでOSコマンドを実行できる。ZyxelのCVSSは8.8で、影響は10機種。
- すべきこと：自分の機種のPatch 3ビルドを適用する。Patch 2とそれ以前は脆弱なままで、回避策は示されていない。
- 確認されていないこと：Patch 2が不完全な修正だったのか、攻撃者がCISAの掲載したものとは別の脆弱性を使ったのか。Zyxelのアドバイザリは、新しい脆弱性が悪用されたかどうかを述べていない。
- 落とし穴：GreyNoiseによれば、侵害された996台のうち564台が工場出荷時の認証情報のままだった。
6月の修正から10月の修正までに何があったのか
- 6月16日：ZyxelがCVE-2026-7273（Patch 2ファームウェア）のアドバイザリを公開。
- 8月17日ごろ：GreyNoiseが観測したGS1900スイッチへの攻撃活動が始まる。
- 9月21日：GreyNoiseが報告書（48か国の996台）を公開。CISAがCVE-2026-7273を悪用が確認された脆弱性カタログ（KEV）に追加し、期限は9月24日。
- 9月28日と29日：BinarlyがPatch 2の10種類のファームウェアすべてでエクスプロイトが機能することを確認し、Zyxelに脆弱性を報告。Zyxelは10月11日に確認した（BleepingComputer）。
- 10月22日または23日：ZyxelがPatch 3を公開。SecurityWeekとThe Hacker Newsは23日、BleepingComputerは22日としている。
- 11月3日：Zyxelがアドバイザリを、Binarlyが報告書を公開。
なぜ6月の修正では足りなかったのか
BinarlyはJITTERLYバックドアに関連するインフラを調べる中で、難読化されたPythonのエクスプロイトを含む公開状態のアーカイブを見つけた。このエクスプロイトはファームウェアのバージョンを確認しており、CVE-2026-7273の修正済みバージョンも対象に含まれていた。Binarlyによれば、脆弱性はWebリクエストハンドラーにおける境界外書き込みだ。Patch 2はパラメーター数の確認を追加したが、各HTTPパラメーターのサイズは正しく確認されていなかった。Zyxelはこの欠落を別の脆弱性として扱っており、新しいCVEが付いた理由もそこにある。Patch 3はパラメーターのサイズを制限し、データをメモリにコピーする前に数を確認する。
Binarlyは2通りの解釈を示す。Patch 2が不完全な修正だったか、攻撃がCISAの掲載したものとは別の脆弱性を使ったかだ。BleepingComputerによれば、エクスプロイトが更新を回避するために意図的に作られたのか、更新が直せなかった近い脆弱性を狙ったのかは分からない。Binarlyは、より短い概念実証を公開する予定だ。
深刻度について、Binarlyは9.8、ベンダーのNVDの記載は8.8としている。Zyxelは同じローカルネットワーク上の認証されていない攻撃者を想定し、Binarlyは管理サービスにネットワークから到達できるだけでよいとしている。
どの機種が影響を受け、何をすべきか
下の10機種は、Patch 2以前のファームウェアを使っている場合、対応するPatch 3ビルドが必要になる。表はThe Hacker Newsからの引用なので、Zyxelのアドバイザリで確認してほしい。
| 機種 | 脆弱なファームウェア（Patch 2以前） | 修正済みファームウェア（Patch 3） |
|---|---|---|
| GS1900-8 | 2.90(AAHH.2)C0 | 2.90(AAHH.3)C0 |
| GS1900-8HP | 2.90(AAHI.2)C0 | 2.90(AAHI.3)C0 |
| GS1900-10HP | 2.90(AAZI.2)C0 | 2.90(AAZI.3)C0 |
| GS1900-16 | 2.90(AAHJ.2)C0 | 2.90(AAHJ.3)C0 |
| GS1900-24 | 2.90(AAHL.2)C0 | 2.90(AAHL.3)C0 |
| GS1900-24E | 2.90(AAHK.2)C0 | 2.90(AAHK.3)C0 |
| GS1900-24EP | 2.90(ABTO.2)C0 | 2.90(ABTO.3)C0 |
| GS1900-24HPv2 | 2.90(ABTP.2)C0 | 2.90(ABTP.3)C0 |
| GS1900-48 | 2.90(AAHN.2)C0 | 2.90(AAHN.3)C0 |
| GS1900-48HPv2 | 2.90(ABTQ.2)C0 | 2.90(ABTQ.3)C0 |
Zyxelは、更新によって攻撃者がすでに得たアクセスが消えるのかどうか、またスイッチが侵害されたかを確認する方法も述べていない。アドバイザリにない一般的な対策として、The Hacker Newsは工場出荷時の認証情報の変更と、管理インターフェースへのアクセス制限を挙げている。
攻撃者は何を持ち出していたのか
The Hacker Newsが伝えるGreyNoiseによれば、攻撃者は収集スクリプトを設置し、スイッチの設定、ハッシュ化されたrootの認証情報、ネットワーク情報を集めていた。GreyNoiseは、この活動をAcronisがRed Heronとして追跡する中国語圏のグループと結びつけている。BinarlyはマルウェアJitterlyとSixzutの亜種を確認したと述べる。GreyNoiseは、狙われたファームウェアのバージョンや攻撃経路は明らかにしていない。The Hacker Newsの記事の時点で、CVE-2026-107441はCISAのKEVカタログに載っていなかった。
よくある質問
6月の修正を適用していれば、自分のスイッチは守られているのか
Binarlyによれば、守られていない。エクスプロイトはPatch 2に対して変更なしで機能する。自分の機種のPatch 3を適用すること。
本当にゼロデイなのか
Binarlyと報道はそう説明している。修正が存在する前に悪用されたという意味だ。Zyxelはこの脆弱性をCVE-2026-7273とは別のものとして扱っており、アドバイザリは悪用の有無を述べていない。Patch 2についての2つの解釈（修正の失敗か、別の脆弱性か）は未決着のままだ。
方法と限界
出典は2026年11月5日時点のもの。私たちは何も検証しておらず、Zyxelのアドバイザリも直接は読んでいない。技術的な分析はBinarlyのもので独立した検証はなく、ファームウェアの表はThe Hacker Newsによる。修正の日付（10月22日か23日）と深刻度（8.8か9.8）は出典によって異なる。
出典
- SecurityWeek：Zyxel switch hacks blamed on patched flaw actually exploited a zero-day（確認日：2026-11-05）
- BleepingComputer：Zyxel fixes zero-day exploited to hack nearly 1,000 network switches（確認日：2026-11-05）
- The Hacker News：Zyxel GS1900 patch fails to block zero-day exploit（確認日：2026-11-05）
- Help Net Security：attacker compromised nearly 1000 Zyxel switches since August（確認日：2026-11-05）
- Zyxel：CVE-2026-7273のセキュリティアドバイザリ（確認日：2026-11-05）
