Une vulnérabilité zero-day affectant les switches réseau Zyxel GS1900 permet à un attaquant non authentifié d'exécuter des commandes du système d'exploitation, y compris sur des appareils mis à jour avec le correctif de sécurité publié par l'entreprise en juin. La faille, CVE-2026-107441, concerne 10 modèles de switches et a désormais été corrigée par une deuxième mise à jour du firmware.
Le problème dépasse le cadre d'un exploit théorique. Des chercheurs en sécurité ont établi un lien entre cette technique d'attaque et une campagne ayant compromis 996 switches dans 48 pays. Les administrateurs qui ont installé la précédente mise à jour pour CVE-2026-7273 doivent à nouveau vérifier leur firmware.
Pourquoi le correctif Zyxel de juin a échoué
Zyxel a publié des mises à jour du firmware le 16 juin pour corriger CVE-2026-7273, une vulnérabilité de dépassement de tampon dans le logiciel de gestion web de la série GS1900.
Cependant, des chercheurs de Binarly ont ensuite découvert que l'exploit circulant contre ces switches fonctionnait toujours avec le firmware corrigé.
Le problème concernait la manière dont l'interface de gestion traitait les paramètres des requêtes HTTP. Le logiciel stockait les paramètres dans une zone mémoire de taille fixe, mais ne validait pas correctement leur longueur avant de les copier.
Le correctif de juin introduisait une vérification du nombre de paramètres, mais celle-ci intervenait trop tard. Un paramètre trop volumineux pouvait écraser le compteur avant la validation, permettant à un attaquant de corrompre la mémoire et de rediriger l'exécution du programme.
Binarly a signalé cette découverte à Zyxel le 29 septembre. Zyxel a classé l'absence de validation de la longueur des paramètres comme une vulnérabilité distincte, CVE-2026-107441.
Selon l'avis de sécurité de Zyxel du 3 novembre, la faille pouvait permettre à un attaquant présent sur le réseau local et ne disposant d'aucun identifiant d'exécuter des commandes du système d'exploitation au moyen d'une requête HTTP spécialement conçue.
Zyxel a attribué à la vulnérabilité un score CVSS de 8,8, tandis que Binarly lui a accordé 9,8 et a indiqué qu'une exploitation réussie pouvait permettre l'exécution de commandes avec des privilèges root.
Le nouveau firmware Patch 3 corrige le problème sous-jacent en validant le nombre de paramètres avant de copier les données et en limitant la taille des paramètres.
Près de 1 000 switches Zyxel compromis
La vulnérabilité était associée à une campagne d'attaque déjà en cours avant que les chercheurs ne révèlent le problème.
En septembre, GreyNoise a indiqué qu'un acteur malveillant qu'il suit sous le nom de Kapibala avait compromis 996 switches GS1900 dans 48 pays, à partir du 17 août environ.
Les attaquants ont téléchargé un script de collecte de données qui récupérait les configurations des switches, les identifiants root hachés et des informations réseau.
Parmi les switches compromis, 564 utilisaient encore, selon les informations disponibles, les identifiants d'usine par défaut, ce qui constituait un risque de sécurité supplémentaire.
Binarly a ensuite découvert un exploit fonctionnel sur une infrastructure associée à la porte dérobée JITTERLY. Son analyse a établi que l'exploit pouvait contourner le correctif du firmware de juin.
L'enquête ne permet pas d'établir combien d'appareils compromis ont depuis été nettoyés ou mis à jour.
Les attaquants ont également ciblé d'autres systèmes de gestion réseau. De récentes attaques contre Cisco SD-WAN impliquaient un logiciel malveillant conçu pour collecter des éléments de clés de chiffrement, tandis qu'une autre vulnérabilité d'Arista VeloCloud permettait aux attaquants d'obtenir un accès opérateur privilégié.
Quels modèles Zyxel GS1900 nécessitent le Patch 3 ?
Zyxel recense 10 modèles concernés. Tous nécessitent la version correspondante du firmware se terminant par .3)C0.
- GS1900-8 : 2.90(AAHH.3)C0
- GS1900-8HP : 2.90(AAHI.3)C0
- GS1900-10HP : 2.90(AAZI.3)C0
- GS1900-16 : 2.90(AAHJ.3)C0
- GS1900-24 : 2.90(AAHL.3)C0
- GS1900-24E : 2.90(AAHK.3)C0
- GS1900-24EP : 2.90(ABTO.3)C0
- GS1900-24HPv2 : 2.90(ABTP.3)C0
- GS1900-48 : 2.90(AAHN.3)C0
- GS1900-48HPv2 : 2.90(ABTQ.3)C0
Pour chaque modèle, la version correspondante du Patch 2 se terminant par .2)C0, ainsi que toutes les versions antérieures, restent vulnérables.
Zyxel affirme que les produits actuellement commercialisés qui ne figurent pas dans la liste des modèles concernés ne sont pas vulnérables à cette faille.
Ce que les administrateurs doivent faire maintenant
Les organisations qui utilisent des switches GS1900 concernés doivent installer immédiatement le firmware Patch 3 spécifique à leur modèle. Les mises à jour ont été publiées en octobre, avant l'avis de sécurité de Zyxel du 3 novembre.
Les administrateurs doivent également :
- Vérifier les versions du firmware : Confirmer que chaque switch concerné utilise la version correcte du Patch 3.
- Restreindre l'accès à la gestion : Empêcher les réseaux non fiables et les hôtes Internet d'accéder à l'interface de gestion web.
- Renouveler les identifiants : Remplacer les mots de passe par défaut et modifier les identifiants susceptibles d'avoir été exposés pendant la campagne d'attaque.
- Examiner les configurations : Comparer les paramètres des switches avec des sauvegardes connues comme saines et rechercher toute modification non autorisée.
- Rechercher les signes de compromission : Examiner les journaux réseau disponibles et les indicateurs associés à la campagne Kapibala.
Les appareils exposés à des réseaux non fiables pendant la période d'exploitation méritent un examen approfondi. L'installation d'un nouveau firmware comble la vulnérabilité, mais n'annule pas automatiquement une compromission antérieure.
La CISA a ajouté la précédente CVE-2026-7273 à son catalogue des vulnérabilités connues et exploitées en septembre. Au 4 novembre, la nouvelle CVE-2026-107441 n'y avait pas encore été ajoutée. Parmi les autres ajouts récents de la CISA figuraient des vulnérabilités activement exploitées affectant SonicWall et des infrastructures d'entreprise.
Les organisations qui ont déjà achevé la remédiation exigée par la CISA doivent donc vérifier leur firmware de manière indépendante plutôt que de se fier à l'enregistrement du correctif précédent.
À lire également : Une vulnérabilité critique de SonicWall ciblée par des attaquants seulement deux jours après sa divulgation, des chercheurs ayant recensé 135 tentatives d'exploitation.