Análise

Zyxel corrige o zero-day CVE-2026-107441 dos switches GS1900, explorado contra quase 1.000 dispositivos

A Binarly diz que o exploit contra quase 1.000 switches Zyxel GS1900 passava pela correção de junho. O Patch 3 fecha a falha CVE-2026-107441.

Por Audryk · 5 de novembro de 2026

• #Zyxel
• #GS1900
• #zero-day
• #CVE-2026-107441
• #Binarly
• #GreyNoise
• #CISA

Em 3 de novembro de 2026, a Zyxel publicou um aviso de segurança para o CVE-2026-107441, uma falha dos switches GS1900 que, segundo a Binarly, foi explorada como zero-day contra quase 1.000 dispositivos. Um zero-day é uma falha explorada antes de uma correção cobri-la. Os ataques foram atribuídos inicialmente ao CVE-2026-7273, corrigido em junho; a Binarly mostra que essa correção (Patch 2) não impedia o exploit. O firmware que fecha a falha é o 2.90 Patch 3, lançado no fim de outubro.

O essencial

• O que está estabelecido: uma escrita fora dos limites no programa CGI do firmware permite a um atacante não autenticado executar comandos do sistema por requisições HTTP; a Zyxel a classifica com CVSS 8,8; dez modelos afetados.
• O que fazer: instalar a versão Patch 3 do seu modelo. O Patch 2 e as anteriores continuam vulneráveis, e nenhuma solução provisória é indicada.
• O que não está estabelecido: se o Patch 2 era uma correção incompleta ou se os atacantes usaram outra falha que não a listada pela CISA. O aviso da Zyxel não diz se a nova falha foi explorada.
• Um detalhe importante: 564 dos 996 switches comprometidos ainda usavam as credenciais de fábrica, segundo a GreyNoise.

O que aconteceu entre a correção de junho e a de outubro?

• 16 de junho: a Zyxel publica um aviso para o CVE-2026-7273 (firmware Patch 2).
• Por volta de 17 de agosto: início da atividade observada pela GreyNoise contra switches GS1900.
• 21 de setembro: a GreyNoise publica seu relatório (996 switches em 48 países); a CISA inclui o CVE-2026-7273 em seu catálogo de vulnerabilidades exploradas (KEV), com prazo até 24 de setembro.
• 28 e 29 de setembro: a Binarly confirma que o exploit funciona contra os dez firmwares do Patch 2 e depois comunica a falha à Zyxel, que a confirma em 11 de outubro (BleepingComputer).
• 22 ou 23 de outubro: a Zyxel lança o Patch 3. SecurityWeek e The Hacker News dão o dia 23; a BleepingComputer, o dia 22.
• 3 de novembro: a Zyxel publica seu aviso e a Binarly seu relatório.

Por que a correção de junho não bastou?

Ao investigar uma infraestrutura ligada ao backdoor JITTERLY, a Binarly encontrou um arquivo exposto com um exploit em Python ofuscado. Esse exploit verificava a versão do firmware, inclusive as já corrigidas para o CVE-2026-7273. Segundo a Binarly, a falha é uma escrita fora dos limites no tratador de requisições web: o Patch 2 acrescentava uma verificação do número de parâmetros, mas o tamanho de cada parâmetro HTTP não era verificado corretamente. A Zyxel trata essa lacuna como uma falha distinta, daí o novo CVE. O Patch 3 limita o tamanho dos parâmetros e verifica a quantidade antes de copiar dados para a memória.

A Binarly propõe duas leituras: o Patch 2 era uma correção incompleta, ou os ataques usaram outra falha que não a listada pela CISA. Segundo a BleepingComputer, não está claro se o exploit foi criado de propósito para contornar as atualizações ou se mira uma falha vizinha que elas não haviam corrigido. A Binarly pretende publicar uma prova de conceito menor.

Sobre a gravidade, a Binarly dá 9,8 e a ficha do fabricante na NVD, 8,8. A Zyxel descreve um atacante não autenticado na rede local; a Binarly, um atacante que só precisa alcançar o serviço de gerenciamento pela rede.

Quais modelos são afetados e o que fazer?

Cada um dos dez modelos abaixo, com firmware Patch 2 ou anterior, precisa da versão Patch 3 correspondente. A tabela vem do The Hacker News: confira no aviso da Zyxel.

A Zyxel não diz se a atualização remove um acesso já obtido por um atacante, nem como verificar se um switch foi comprometido. Como boa prática geral, ausente do aviso, o The Hacker News aconselha trocar as credenciais de fábrica e limitar o acesso à interface de administração.

O que os atacantes levavam?

Segundo a GreyNoise, retransmitida pelo The Hacker News, os atacantes instalavam um script de coleta que obtinha as configurações dos switches, as credenciais root em forma de hash e informações de rede. A GreyNoise liga a atividade a um grupo de língua chinesa que a Acronis rastreia como Red Heron; a Binarly diz ter visto variantes dos malwares Jitterly e Sixzut. A GreyNoise não precisou as versões de firmware visadas nem o caminho do ataque. Na época do artigo do The Hacker News, o CVE-2026-107441 não constava do catálogo KEV da CISA.

Perguntas frequentes

Meu switch está protegido se tem a correção de junho?

Não, segundo a Binarly: o exploit funciona sem alterações contra o Patch 2. Instale o Patch 3 do seu modelo.

É mesmo um zero-day?

A Binarly e a imprensa o descrevem assim: explorado antes de existir uma correção. A Zyxel trata a falha como distinta do CVE-2026-7273, e seu aviso não diz se ela foi explorada. As duas leituras do Patch 2 (correção malsucedida ou outra falha) continuam em aberto.

Método e limites

Fontes em 5 de novembro de 2026. Não testamos nada nem lemos diretamente o aviso da Zyxel; a análise técnica é da Binarly, sem verificação independente, e a tabela de firmwares vem do The Hacker News. As fontes divergem quanto à data da correção (22 ou 23 de outubro) e à gravidade (8,8 ou 9,8).

Fontes

• SecurityWeek: Zyxel switch hacks blamed on patched flaw actually exploited a zero-day (verificado em 2026-11-05)
• BleepingComputer: Zyxel fixes zero-day exploited to hack nearly 1,000 network switches (verificado em 2026-11-05)
• The Hacker News: Zyxel GS1900 patch fails to block zero-day exploit (verificado em 2026-11-05)
• Help Net Security: attacker compromised nearly 1000 Zyxel switches since August (verificado em 2026-11-05)
• Zyxel: aviso de segurança para o CVE-2026-7273 (verificado em 2026-11-05)

Encontrou um erro neste artigo? Avise-nos · Nossa política de correções