Eine Zero-Day-Schwachstelle in Netzwerk-Switches der Reihe Zyxel GS1900 ermöglicht es einem nicht authentifizierten Angreifer, Betriebssystembefehle auszuführen – sogar auf Geräten, die mit dem Juni-Sicherheitspatch des Unternehmens aktualisiert wurden. Die Schwachstelle CVE-2026-107441 betrifft 10 Switch-Modelle und wurde nun mit einem zweiten Firmware-Update behoben.
Das Problem geht über einen theoretischen Exploit hinaus. Sicherheitsforscher brachten die Angriffstechnik mit einer Kampagne in Verbindung, bei der 996 Switches in 48 Ländern kompromittiert wurden. Administratoren, die das frühere Update für CVE-2026-7273 installiert haben, müssen ihre Firmware erneut prüfen.
Warum der Zyxel-Patch vom Juni scheiterte
Zyxel veröffentlichte am 16. Juni Firmware-Updates, um CVE-2026-7273 zu beheben, eine Buffer-Overflow-Schwachstelle in der Webverwaltungssoftware der GS1900-Serie.
Forscher von Binarly stellten jedoch später fest, dass der gegen diese Switches kursierende Exploit auch mit der gepatchten Firmware noch funktionierte.
Das Problem betraf die Verarbeitung von HTTP-Anfrageparametern durch die Verwaltungsschnittstelle. Die Software speicherte die Parameter in einem Speicherbereich fester Größe, überprüfte ihre Länge vor dem Kopieren jedoch nicht ordnungsgemäß.
Der Juni-Patch führte eine Prüfung der Parameteranzahl ein, die jedoch zu spät ausgeführt wurde. Ein übergroßer Parameter konnte den Zähler vor der Validierung überschreiben, sodass ein Angreifer den Speicher beschädigen und die Programmausführung umleiten konnte.
Binarly meldete den Fund am 29. Sept. an Zyxel. Zyxel stufte die fehlende Prüfung der Parameterlänge als separate Schwachstelle CVE-2026-107441 ein.
Laut Zyxels Sicherheitswarnung vom 3. Nov. konnte die Schwachstelle einem LAN-basierten Angreifer ohne Zugangsdaten ermöglichen, über eine manipulierte HTTP-Anfrage Betriebssystembefehle auszuführen.
Zyxel bewertete die Schwachstelle mit einem CVSS-Wert von 8,8, während Binarly sie mit 9,8 einstufte und meldete, dass eine erfolgreiche Ausnutzung die Ausführung von Befehlen mit Root-Rechten ermöglichen könnte.
Die neue Patch-3-Firmware behebt das zugrunde liegende Problem, indem sie die Parameteranzahl vor dem Kopieren der Daten prüft und die Parametergröße begrenzt.
Fast 1.000 Zyxel-Switches kompromittiert
Die Schwachstelle stand mit einer Angriffskampagne in Verbindung, die bereits lief, bevor Forscher das Problem offenlegten.
Im September meldete GreyNoise, dass ein von dem Unternehmen als Kapibala verfolgter Bedrohungsakteur 996 GS1900-Switches in 48 Ländern kompromittiert hatte – beginnend etwa am 17. Aug.
Die Angreifer luden ein Skript zur Datensammlung herunter, das Switch-Konfigurationen, Hashes der Root-Zugangsdaten und Netzwerkinformationen erfasste.
Von den kompromittierten Switches verwendeten Berichten zufolge noch 564 die werkseitig voreingestellten Zugangsdaten, was ein zusätzliches Sicherheitsrisiko darstellte.
Binarly entdeckte später einen funktionierenden Exploit auf einer Infrastruktur, die mit der Hintertür JITTERLY in Verbindung stand. Die Analyse ergab, dass der Exploit den Firmware-Fix vom Juni umgehen konnte.
Die Untersuchung klärt nicht, wie viele der kompromittierten Geräte inzwischen bereinigt oder aktualisiert wurden.
Angreifer haben auch andere Netzwerkverwaltungssysteme ins Visier genommen. Bei jüngsten Angriffen auf Cisco SD-WAN kam Malware zum Einsatz, die Verschlüsselungsschlüssel sammelte, während eine separate Schwachstelle in Arista VeloCloud Angreifern den Zugriff mit Operator-Rechten ermöglichte.
Welche Zyxel-GS1900-Modelle benötigen Patch 3?
Zyxel nennt 10 betroffene Modelle. Für alle ist die entsprechende Firmware-Version mit der Endung .3)C0.
- GS1900-8: 2.90(AAHH.3)C0
- GS1900-8HP: 2.90(AAHI.3)C0
- GS1900-10HP: 2.90(AAZI.3)C0
- GS1900-16: 2.90(AAHJ.3)C0
- GS1900-24: 2.90(AAHL.3)C0
- GS1900-24E: 2.90(AAHK.3)C0
- GS1900-24EP: 2.90(ABTO.3)C0
- GS1900-24HPv2: 2.90(ABTP.3)C0
- GS1900-48: 2.90(AAHN.3)C0
- GS1900-48HPv2: 2.90(ABTQ.3)C0
Für jedes Modell bleiben der entsprechende Patch-2-Build mit der Endung .2)C0 sowie alle früheren Versionen anfällig.
Laut Zyxel sind aktuell vermarktete Produkte außerhalb der Liste der betroffenen Modelle nicht von dieser Schwachstelle betroffen.
Was Administratoren jetzt tun sollten
Organisationen, die betroffene GS1900-Switches betreiben, sollten unverzüglich die modellspezifische Patch-3-Firmware installieren. Die Updates wurden im Oktober veröffentlicht, noch vor Zyxels Warnung vom 3. Nov.
Administratoren sollten außerdem:
- Firmware-Versionen prüfen: Sicherstellen, dass auf jedem betroffenen Switch der korrekte Patch-3-Build läuft.
- Zugriff auf die Verwaltung beschränken: Verhindern, dass nicht vertrauenswürdige Netzwerke und Internet-Hosts die Webverwaltungsschnittstelle erreichen.
- Zugangsdaten ändern: Standardpasswörter ersetzen und Zugangsdaten ändern, die während der Angriffskampagne möglicherweise offengelegt wurden.
- Konfigurationen prüfen: Switch-Einstellungen mit bekannten, einwandfreien Sicherungskopien vergleichen und nicht autorisierte Änderungen untersuchen.
- Auf eine Kompromittierung prüfen: Verfügbare Netzwerkprotokolle und mit der Kapibala-Kampagne verbundene Indikatoren untersuchen.
Geräte, die während des Ausnutzungszeitraums nicht vertrauenswürdigen Netzwerken ausgesetzt waren, sollten zusätzlich untersucht werden. Die Installation einer neuen Firmware schließt die Schwachstelle, macht eine frühere Kompromittierung jedoch nicht automatisch rückgängig.
Die CISA nahm CVE-2026-7273 bereits im September in ihren Katalog bekannter ausgenutzter Schwachstellen auf. Am 4. Nov. war die neuere CVE-2026-107441 noch nicht aufgenommen worden. Zu den weiteren aktuellen CISA-Aufnahmen gehörten aktiv ausgenutzte Schwachstellen, die SonicWall und Unternehmensinfrastrukturen betrafen.
Organisationen, die die frühere, von der CISA vorgeschriebene Abhilfe bereits umgesetzt haben, sollten ihre Firmware daher unabhängig überprüfen, anstatt sich auf die Aufzeichnungen zum vorherigen Patch zu verlassen.
Lesen Sie auch: Angreifer nahmen eine kritische SonicWall-Schwachstelle ins Visier – nur zwei Tage nach ihrer Offenlegung, wobei Forscher 135 Ausnutzungsversuche registrierten.