Los switches Zyxel GS1900 actualizados al firmware 2.90 Patch 2 siguen expuestos al exploit que los atacantes usaron contra estos equipos. Así lo comprobaron los investigadores de Binarly. El exploit permite a cualquiera que alcance la interfaz web de administración ejecutar comandos con privilegios de root, sin iniciar sesión. Zyxel ya publicó el firmware 2.90 Patch 3 para 10 modelos de la serie.

El 16 de junio, Zyxel publicó un aviso sobre la falla CVE-2026-7273 y la corrigió con el Patch 2. El 21 de septiembre, GreyNoise informó que unos atacantes extrajeron datos de 996 switches GS1900 alrededor del 17 de agosto. Ese mismo día, la agencia estadounidense CISA incluyó la falla en su catálogo KEV, que reúne vulnerabilidades con explotación confirmada. Binarly halló el exploit el 17 de septiembre y lo reportó a Zyxel el 29 de septiembre. Estaba en una carpeta abierta de un servidor que también controlaba el backdoor JITTERLY. Zyxel registró la nueva falla como CVE-2026-107441 y publicó el Patch 3 el 23 de octubre.

El origen del problema está en el programa que procesa las solicitudes web del switch. Se trata de una escritura fuera de límites: el programa escribe datos más allá de la memoria que tiene asignada. Ese programa guarda los parámetros de cada solicitud en un área fija con espacio para 140. Nunca verificaba el tamaño de cada parámetro y, antes del Patch 2, tampoco cuántos llevaba almacenados. El exploit envía un parámetro número 140 demasiado grande, que desborda el área y sobrescribe el contador de parámetros. El siguiente parámetro queda fuera del área y reemplaza la función que el programa iba a ejecutar por una que corre el comando del atacante.

El Patch 2 agregó una verificación del contador, pero la ejecuta después de copiar el parámetro. Para entonces, el contador ya contiene el valor del atacante. Por eso el exploit funciona sin cambios contra el Patch 2. El Patch 3 revisa el contador antes de copiar y limita el tamaño de la copia. Binarly califica la falla con 9,8 sobre 10 en la escala de severidad CVSS; Zyxel la califica con 8,8. Zyxel describe a un atacante no autenticado dentro de la red local. Binarly sostiene que basta con tener alcance de red al servicio de administración. Zyxel no indica si la nueva falla ya fue explotada. Ni GreyNoise ni Binarly afirman que los equipos atacados tuvieran instalado el Patch 2.

Según GreyNoise, los atacantes descargaron un script de recolección en los switches. Obtuvieron configuraciones, credenciales de root cifradas mediante hash e información de la red. De los 996 equipos, 564 conservaban las credenciales de fábrica. GreyNoise vincula la campaña con Red Heron, un grupo de habla china que rastrea Acronis.

Las versiones corregidas por modelo son:

Todo equipo con Patch 2 o un firmware anterior necesita el Patch 3 de su modelo. Las imágenes están en las notas de versión de Zyxel. El aviso no ofrece una mitigación temporal. Tampoco aclara si la actualización elimina un acceso que el atacante ya tenga. Mientras actualiza, limite el acceso a la interfaz web a una red de administración aislada y reemplace las credenciales de fábrica. Si un equipo pudo estar expuesto, revise su configuración y cambie sus contraseñas. Binarly anunció que pronto publicará una prueba de concepto del exploit, lo que facilitará nuevos ataques.

Qué significa para tu empresa: Esta semana, haga un inventario de sus switches GS1900 y confirme qué firmware ejecuta cada uno. Ningún switch debería exponer su consola web fuera de una red de administración dedicada ni conservar contraseñas de fábrica. En nuestra experiencia, el switching de acceso suele quedar fuera de los ciclos de parcheo. Un servicio de redes gestionadas mantiene ese inventario, el firmware y el acceso administrativo bajo control continuo.

Fuente original: The Hacker News — ver artículo →

#zero-day#cve#parches-seguridad#exploits