분석
Zyxel, GS1900 스위치의 제로데이 CVE-2026-107441 수정… 약 1000대 공격에 악용
Binarly는 약 1000대의 Zyxel GS1900 공격이 6월 패치를 우회했다고 밝혔다. Patch 3가 CVE-2026-107441 취약점을 막는다.
Zyxel은 2026년 11월 3일 GS1900 스위치의 취약점 CVE-2026-107441에 대한 보안 권고를 게시했다. Binarly는 이 취약점이 제로데이로 약 1000대의 장비 공격에 악용되었다고 말한다. 제로데이는 패치가 나오기 전에 악용되는 취약점을 뜻한다. 공격은 처음에 6월에 패치된 CVE-2026-7273 탓으로 여겨졌다. Binarly는 그 패치(Patch 2)가 이 익스플로잇을 막지 못했다고 보여 준다. 취약점을 막는 펌웨어는 10월 하순에 나온 2.90 Patch 3이다.
핵심 요약
- 확인된 사실: 펌웨어 CGI 프로그램의 범위 밖 쓰기 때문에 인증되지 않은 공격자가 HTTP 요청으로 운영체제 명령을 실행할 수 있다. Zyxel의 CVSS는 8.8이고 10개 모델이 영향을 받는다.
- 해야 할 일: 자기 모델의 Patch 3 빌드를 설치한다. Patch 2와 그 이전은 여전히 취약하며, 우회책은 제시되지 않았다.
- 확인되지 않은 점: Patch 2가 불완전한 패치였는지, 공격자가 CISA가 올린 것과 다른 취약점을 썼는지. Zyxel의 권고는 새 취약점이 악용되었는지 말하지 않는다.
- 함정: GreyNoise에 따르면 침해된 996대 가운데 564대가 공장 출고 시 인증 정보를 그대로 쓰고 있었다.
6월 패치부터 10월 패치까지 무슨 일이 있었나?
- 6월 16일: Zyxel이 CVE-2026-7273(Patch 2 펌웨어)에 대한 권고를 게시.
- 8월 17일경: GreyNoise가 관측한 GS1900 스위치 대상 공격 활동이 시작됨.
- 9월 21일: GreyNoise가 보고서(48개국 996대)를 공개하고, CISA가 CVE-2026-7273을 악용 확인 취약점 목록(KEV)에 추가. 기한은 9월 24일.
- 9월 28일과 29일: Binarly가 Patch 2의 10개 펌웨어 모두에서 익스플로잇이 통한다고 확인한 뒤 Zyxel에 취약점을 보고했고, Zyxel은 10월 11일에 이를 확인(BleepingComputer).
- 10월 22일 또는 23일: Zyxel이 Patch 3을 공개. SecurityWeek와 The Hacker News는 23일, BleepingComputer는 22일이라고 한다.
- 11월 3일: Zyxel이 권고를, Binarly가 보고서를 공개.
6월 패치로는 왜 부족했나?
Binarly는 JITTERLY 백도어와 연결된 인프라를 조사하던 중 난독화된 Python 익스플로잇이 들어 있는 노출된 아카이브를 발견했다. 이 익스플로잇은 펌웨어 버전을 확인했고, CVE-2026-7273이 이미 패치된 버전도 포함했다. Binarly에 따르면 취약점은 웹 요청 처리기의 범위 밖 쓰기다. Patch 2는 매개변수 개수 확인을 추가했지만 각 HTTP 매개변수의 크기는 제대로 확인하지 않았다. Zyxel은 이 누락을 별개의 취약점으로 다루며, 새 CVE가 붙은 이유도 거기에 있다. Patch 3은 매개변수 크기를 제한하고 데이터를 메모리에 복사하기 전에 개수를 확인한다.
Binarly는 두 가지 해석을 내놓는다. Patch 2가 불완전한 패치였거나, 공격이 CISA가 올린 것과 다른 취약점을 썼다는 것이다. BleepingComputer에 따르면 익스플로잇이 업데이트를 우회하려고 일부러 만들어졌는지, 업데이트가 고치지 못한 인접한 취약점을 노리는 것인지는 분명하지 않다. Binarly는 더 짧은 개념 증명 코드를 공개할 계획이다.
심각도에 대해 Binarly는 9.8, 벤더의 NVD 항목은 8.8로 본다. Zyxel은 로컬 네트워크의 인증되지 않은 공격자를 상정하고, Binarly는 관리 서비스에 네트워크로 닿기만 하면 된다고 본다.
어떤 모델이 영향을 받고, 무엇을 해야 하나?
아래 10개 모델은 Patch 2 이하의 펌웨어를 쓰고 있다면 대응하는 Patch 3 빌드가 필요하다. 표는 The Hacker News에서 가져온 것이므로 Zyxel의 권고에서 확인하기 바란다.
| 모델 | 취약한 펌웨어(Patch 2 이하) | 수정된 펌웨어(Patch 3) |
|---|---|---|
| GS1900-8 | 2.90(AAHH.2)C0 | 2.90(AAHH.3)C0 |
| GS1900-8HP | 2.90(AAHI.2)C0 | 2.90(AAHI.3)C0 |
| GS1900-10HP | 2.90(AAZI.2)C0 | 2.90(AAZI.3)C0 |
| GS1900-16 | 2.90(AAHJ.2)C0 | 2.90(AAHJ.3)C0 |
| GS1900-24 | 2.90(AAHL.2)C0 | 2.90(AAHL.3)C0 |
| GS1900-24E | 2.90(AAHK.2)C0 | 2.90(AAHK.3)C0 |
| GS1900-24EP | 2.90(ABTO.2)C0 | 2.90(ABTO.3)C0 |
| GS1900-24HPv2 | 2.90(ABTP.2)C0 | 2.90(ABTP.3)C0 |
| GS1900-48 | 2.90(AAHN.2)C0 | 2.90(AAHN.3)C0 |
| GS1900-48HPv2 | 2.90(ABTQ.2)C0 | 2.90(ABTQ.3)C0 |
Zyxel은 업데이트가 공격자가 이미 얻은 접근 권한을 없애 주는지, 스위치가 침해되었는지 어떻게 확인하는지 밝히지 않았다. 권고에는 없는 일반적인 모범 사례로, The Hacker News는 공장 출고 시 인증 정보를 바꾸고 관리 인터페이스 접근을 제한하라고 조언한다.
공격자는 무엇을 가져갔나?
The Hacker News가 전한 GreyNoise에 따르면 공격자는 수집 스크립트를 심어 스위치 설정, 해시된 root 인증 정보, 네트워크 정보를 모았다. GreyNoise는 이 활동을 Acronis가 Red Heron으로 추적하는 중국어권 그룹과 연결한다. Binarly는 악성코드 Jitterly와 Sixzut의 변종을 확인했다고 말한다. GreyNoise는 노려진 펌웨어 버전이나 공격 경로를 밝히지 않았다. The Hacker News 기사 시점에 CVE-2026-107441은 CISA의 KEV 목록에 없었다.
자주 묻는 질문
6월 패치를 적용했다면 내 스위치는 안전한가?
Binarly에 따르면 안전하지 않다. 익스플로잇은 Patch 2에 변경 없이 통한다. 자기 모델의 Patch 3을 설치해야 한다.
정말 제로데이인가?
Binarly와 언론은 그렇게 설명한다. 패치가 나오기 전에 악용되었다는 뜻이다. Zyxel은 이 취약점을 CVE-2026-7273과 별개로 다루며, 권고는 악용 여부를 말하지 않는다. Patch 2에 대한 두 해석(실패한 패치인지, 다른 취약점인지)은 아직 결론이 나지 않았다.
방법과 한계
출처는 2026년 11월 5일 기준이다. 우리는 아무것도 직접 검증하지 않았고 Zyxel의 권고도 직접 읽지 못했다. 기술 분석은 Binarly의 것으로 독립적으로 검증되지 않았으며, 펌웨어 표는 The Hacker News에서 가져왔다. 패치 날짜(10월 22일 또는 23일)와 심각도(8.8 또는 9.8)는 출처마다 다르다.
출처
- SecurityWeek: Zyxel switch hacks blamed on patched flaw actually exploited a zero-day (확인일: 2026-11-05)
- BleepingComputer: Zyxel fixes zero-day exploited to hack nearly 1,000 network switches (확인일: 2026-11-05)
- The Hacker News: Zyxel GS1900 patch fails to block zero-day exploit (확인일: 2026-11-05)
- Help Net Security: attacker compromised nearly 1000 Zyxel switches since August (확인일: 2026-11-05)
- Zyxel: CVE-2026-7273 보안 권고 (확인일: 2026-11-05)
