Zyxel heeft een zero-day kwetsbaarheid in GS1900 netwerk switches gepatcht die door aanvallers werd misbruikt om configuraties en root credentials te stelen.
Zyxel heeft een zero-day kwetsbaarheid gepatcht die aanvallers gebruikten om 996 GS1900 netwerk switches in 48 landen te compromitteren. Hierbij werden apparaatconfiguraties, netwerkinformatie en gehashte root credentials buitgemaakt. De aanval begon rond 17 augustus, aldus cybersecuritybedrijf GreyNoise, maar aanvankelijk werd een andere kwetsbaarheid verantwoordelijk gehouden die Zyxel al had verholpen.
De nieuw ontdekte kwetsbaarheid, geregistreerd als CVE-2026-107441, betreft een out-of-bounds write fout in de webmanagementinterface van de switches. Deze kwetsbaarheid met een CVSS-score van 8.8 stelt ongeauthenticeerde aanvallers met netwerktoegang in staat om besturingssysteemcommando's uit te voeren via speciaal vervaardigde HTTP-verzoeken. De fout treft tien modellen uit de GS1900-serie, waaronder GS1900-8, GS1900-24 en GS1900-48. Firmwareversies eindigend op .2C0 en eerder zijn kwetsbaar, terwijl model-specifieke patches beschikbaar zijn in versies eindigend op .3C0.
In juni bracht Zyxel al een patch uit voor CVE-2026-7273, een buffer overflow in dezelfde switchserie. Aanvankelijk schreef GreyNoise de aanvallen toe aan deze kwetsbaarheid, wat ertoe leidde dat CISA deze in september toevoegde aan haar catalogus van bekende geëxploiteerde kwetsbaarheden. Echter, onderzoekers van Binary ontdekten een exploit voor een eerder onbekende kwetsbaarheid die ook actief was op switches met de juni-patch. Zyxel werd hierover op 29 september geïnformeerd.
De aanvallers maakten gebruik van een script om apparaatconfiguraties, gehashte root credentials en netwerkinformatie te verzamelen. Deze gegevens kunnen een aanvaller een gedetailleerd overzicht van het netwerk geven en mogelijk verdere penetratie van de infrastructuur vergemakkelijken. Zyxel bracht op 22 oktober firmware-updates uit en publiceerde op 3 november een beveiligingsadvies. Beheerders wordt geadviseerd om de getroffen GS1900 switches te updaten, ook als ze al de juni-patch hebben geïnstalleerd.
