Zyxel GS1900ネットワークスイッチのゼロデイ脆弱性により、認証されていない攻撃者がOSコマンドを実行できる可能性がある。これは同社の6月のセキュリティパッチを適用した機器でも同様だ。CVE-2026-107441として識別されたこの脆弱性は10機種のスイッチに影響し、現在は2回目のファームウェアアップデートで対処されている。
この問題は理論上のエクスプロイトにとどまらない。セキュリティ研究者は、この攻撃手法を48カ国で996台のスイッチを侵害したキャンペーンと結び付けた。CVE-2026-7273向けの以前のアップデートを適用した管理者は、ファームウェアを再度確認する必要がある。
Zyxelの6月のパッチが失敗した理由
Zyxelは6月16日、GS1900シリーズのWeb管理ソフトウェアに存在するバッファーオーバーフローの脆弱性、CVE-2026-7273に対処するファームウェアアップデートを公開した。
しかしその後、Binarlyの研究者は、これらのスイッチに対して出回っていたエクスプロイトが、パッチ適用済みのファームウェアでも依然として機能することを発見した。
問題は、管理インターフェースがHTTPリクエストのパラメーターを処理する方法にあった。ソフトウェアはパラメーターを固定サイズのメモリー領域に格納していたが、コピーする前に長さを適切に検証していなかった。
6月のパッチではパラメーター数のチェックが導入されたが、その処理は遅すぎた。サイズ超過のパラメーターが検証前にカウンターを上書きできたため、攻撃者はメモリーを破壊し、プログラムの実行をリダイレクトできた。
Binarlyは9月29日にこの問題をZyxelへ報告した。Zyxelは、パラメーターの長さの検証が欠けていたことを別の脆弱性として分類し、CVE-2026-107441を割り当てた。
によるとZyxelが11月3日に公開したセキュリティアドバイザリー、この脆弱性により、認証情報を持たないLAN上の攻撃者が、細工したHTTPリクエストを通じてOSコマンドを実行できる可能性がある。
Zyxelはこの脆弱性にCVSSスコア8.8を割り当てた。一方、Binarlyは9.8と評価し、悪用に成功すればroot権限でコマンドを実行できると報告した。
新しいPatch 3ファームウェアは、データをコピーする前にパラメーター数を検証し、パラメーターのサイズを制限することで、根本的な問題に対処する。
Zyxelのスイッチ約1,000台が侵害される
この脆弱性は、研究者が問題を公表する前から進行していた攻撃キャンペーンと関連していた。
GreyNoiseは9月、同社がKapibalaとして追跡している脅威アクターが、8月17日ごろから48カ国でGS1900スイッチ996台を侵害していたと報告した。
攻撃者は、スイッチの構成、root認証情報のハッシュ、ネットワーク情報を収集するデータ収集スクリプトをダウンロードしていた。
侵害されたスイッチのうち、564台は工場出荷時のデフォルト認証情報を使い続けていたとされ、さらなるセキュリティ上の懸念となった。
その後Binarlyは、JITTERLYバックドアに関連するインフラ上で、機能するエクスプロイトを発見した。同社の分析により、このエクスプロイトが6月のファームウェア修正を回避できることが明らかになった。
侵害された機器のうち、現在までにどれだけが駆除またはアップデートされたかは、この調査では明らかになっていない。
攻撃者は、他のネットワーク管理システムも標的にしている。最近のCisco SD-WANへの攻撃では暗号鍵の素材を収集するよう設計されたマルウェアが使われ、別のArista VeloCloudの脆弱性では、攻撃者が特権オペレーターアクセスを取得できた。
どのZyxel GS1900モデルにPatch 3が必要か
Zyxelは影響を受けるモデルを10機種特定している。すべてのモデルで、対応するファームウェアのバージョン末尾は.3)C0.
- GS1900-8：2.90(AAHH.3)C0
- GS1900-8HP：2.90(AAHI.3)C0
- GS1900-10HP：2.90(AAZI.3)C0
- GS1900-16：2.90(AAHJ.3)C0
- GS1900-24：2.90(AAHL.3)C0
- GS1900-24E：2.90(AAHK.3)C0
- GS1900-24EP：2.90(ABTO.3)C0
- GS1900-24HPv2：2.90(ABTP.3)C0
- GS1900-48：2.90(AAHN.3)C0
- GS1900-48HPv2：2.90(ABTQ.3)C0
各モデルでは、対応するPatch 2ビルドと.2)C0それ以前のすべてのバージョンが、引き続き脆弱である。
Zyxelによると、現在販売されている製品のうち、影響を受けるモデルの一覧に含まれないものは、この脆弱性の影響を受けない。
管理者が今すべきこと
影響を受けるGS1900スイッチを運用している組織は、モデル固有のPatch 3ファームウェアを直ちにインストールすべきだ。アップデートはZyxelの11月3日のアドバイザリーに先立つ10月に公開されている。
管理者は次の点も実施すべきだ。
- ファームウェアのバージョンを確認：影響を受けるすべてのスイッチで、正しいPatch 3ビルドが稼働していることを確認する。
- 管理アクセスを制限：信頼できないネットワークやインターネット上のホストからWeb管理インターフェースにアクセスできないようにする。
- 認証情報を変更：デフォルトのパスワードを置き換え、攻撃キャンペーン中に漏えいした可能性のある認証情報を変更する。
- 構成を確認：スイッチの設定を正常なバックアップと比較し、不正な変更を調査する。
- 侵害の有無を確認：利用可能なネットワークログと、Kapibalaキャンペーンに関連する痕跡を調べる。
悪用期間中に信頼できないネットワークへ公開されていた機器は、追加調査の対象とすべきだ。新しいファームウェアをインストールすれば脆弱性は解消されるが、過去の侵害が自動的に元に戻るわけではない。
CISAは9月、以前のCVE-2026-7273を同局の既知の悪用された脆弱性カタログに追加した。11月4日時点で、新しいCVE-2026-107441はまだ追加されていなかった。最近のその他のCISAによる追加には、SonicWallや企業インフラに影響し、実際に悪用されている脆弱性が含まれている。
したがって、以前のCISAによる義務付けられた修正をすでに完了している組織も、過去のパッチ適用記録だけに頼らず、独自にファームウェアを確認すべきだ。
関連記事：攻撃者が重大なSonicWall脆弱性を標的にした事例は公表からわずか2日後に発生し、研究者は135件の悪用試行を記録した。