Zyxel hat eine bisher unbekannte Zero-Day-Schwachstelle in seinen Netzwerkschaltern der GS1900-Serie behoben, nachdem Hacker die Lücke ausgenutzt hatten, um weltweit fast 1.000 Geräte zu kompromittieren. Die Angreifer nutzten die Schwachstelle, um Konfigurationsdateien und Zugangsdaten von betroffenen Systemen in 48 Ländern zu stehlen. Die als CVE-2026-107441 verfolgte Lücke ist ein Problem mit einem Schreibzugriff außerhalb der Grenzen (out-of-bounds write) innerhalb des Web-Management-Interfaces der Schalter, das es nicht authentifizierten Angreifern mit Netzwerkkontakt ermöglicht, Betriebssystembefehle über speziell erstellte HTTP-Anfragen auszuführen.

Die Schwachstelle betrifft zehn spezifische GS1900-Switch-Modelle. Zyxel veröffentlichte Sicherheitsupdates am 22. Oktober und gab am 3. November eine formale Sicherheitswarnung heraus. Zunächst wurden die Angriffe fälschlicherweise als Ausnutzung einer älteren, bereits vor Monaten behobenen Schwachstelle identifiziert. Am 16. Juni 2026 hatte Zyxel Updates für CVE-2026-7273 herausgegeben, eine Pufferüberlauf-Schwachstelle vor der Authentifizierung, die dieselbe Hardware betraf. Forscher stellten jedoch später fest, dass die aktiven Angriffe ein separates, nicht gepatchtes Problem zielten.

Die Cybersicherheitsfirma GreyNoise beobachtete die Kampagne erstmals um den 17. August herum und schrieb sie einem mutmaßlichen chinesischsprachigen Bedrohungsakteur namens Kapibala zu. Die Gruppe kompromittierte 996 Geräte und setzte Skripte ein, um Gerätekonfigurationen, gehashte Root-Zugangsdaten und Netzwerkinformationen zu sammeln. GreyNoise verknüpfte Kapibala mit der Red-Heron-Hacking-Kampagne und schrieb die Ausnutzung zunächst CVE-2026-7273 zu, woraufhin CISA diese Kennung am 21. September in seinen Katalog bekannter ausgenutzter Schwachstellen aufnahm.

Forscher von Binarly entdeckten später, dass das Exploit tatsächlich eine andere Schwachstelle anvisierte. Während sie Red-Heron-Infrastruktur im Zusammenhang mit dem JITTERLY-Backdoor und dem SIXZUT-Rootkit untersuchten, fanden sie ein offengelegtes Archiv, das einen verschleierten Python-Exploit für Zyxel GS1900-Switches enthielt. Die Analyse ergab, dass das Exploit spezifisch nach Firmware-Versionen suchte, die gegen CVE-2026-7273 gepatcht waren, was darauf hindeutet, dass es entwickelt oder aktualisiert wurde, um diese spezifischen Updates zu umgehen.

Binarly bestätigte am 28. September, dass das Exploit weiterhin wirksam gegen alle zehn Firmware-Versionen war, die zur Behebung des früheren Pufferüberlaufs gedacht waren. Die Forscher stellten fest, dass zwar das Update im Juni Prüfungen hinzugefügt hatte, um Pufferüberläufe zu verhindern, Angreifer diese jedoch umgehen konnten, indem sie einen Parameterzähler vor der Validierung beschädigten. Dies ermöglichte es dem Exploit, Speicher überschreiben und Befehle ohne Authentifizierung auszuführen, selbst auf gepatchten Geräten. Binarly meldete diese Erkenntnisse am 29. September an Zyxel, und der Hersteller bestätigte die neue Schwachstelle am 11. Oktober.

Zyxel klassifizierte CVE-2026-107441 als eine separate Schwachstelle, da das Exploit auch das Fehlen einer Validierung der Längen von HTTP-Parametern ausnutzte. Die Firmware-Updates vom 22. Oktober beheben dies, indem sie die Parameterrößen begrenzen und den Parameterzähler validieren, bevor Daten in den Speicher kopiert werden. Es bleibt unklar, ob das Exploit absichtlich entwickelt wurde, um die Patches von Juni zu umgehen, oder ob es eine verwandte Schwachstelle ausnutzte, die die früheren Updates nicht vollständig behoben hatten. Administratoren wird dringend geraten, die neueste Firmware sofort zu installieren, um sich vor CVE-2026-107441 zu schützen.

Quellen: BleepingComputer.