Zyxel ha parchado una vulnerabilidad de día cero previamente desconocida en sus conmutadores de red de la serie GS1900 después de que los hackers explotaran el fallo para comprometer casi 1.000 dispositivos en todo el mundo. Los atacantes utilizaron la vulnerabilidad para robar archivos de configuración y credenciales de sistemas afectados en 48 países. El fallo, rastreado como CVE-2026-107441, es un problema de escritura fuera de límites dentro de la interfaz de gestión web de los conmutadores que permite a atacantes no autenticados con acceso a la red ejecutar comandos del sistema operativo mediante solicitudes HTTP especialmente diseñadas.

La vulnerabilidad afecta a diez modelos específicos de conmutadores GS1900. Zyxel lanzó actualizaciones de seguridad el 22 de octubre y publicó un aviso de seguridad formal el 3 de noviembre. Inicialmente, los ataques fueron mal identificados como una explotación de un fallo anterior que ya había sido parchado meses antes. El 16 de junio de 2026, Zyxel había emitido actualizaciones para CVE-2026-7273, una vulnerabilidad de desbordamiento de búfer previa a la autenticación que afectaba al mismo hardware. Sin embargo, los investigadores determinaron posteriormente que los ataques activos estaban apuntando a un problema separado y sin parchar.

La firma de ciberseguridad GreyNoise observó la campaña por primera vez alrededor del 17 de agosto, atribuyéndola a un actor de amenazas sospechoso de habla china conocido como Kapibala. El grupo comprometió 996 dispositivos e implementó scripts para recopilar configuraciones de dispositivos, credenciales raíz hasheadas e información de red. GreyNoise vinculó a Kapibala con la campaña de hacking Red Heron y atribuyó inicialmente la explotación a CVE-2026-7273, lo que llevó a CISA a agregar ese identificador a su catálogo de vulnerabilidades explotadas conocidas el 21 de septiembre.

Investigadores de Binarly descubrieron posteriormente que la explotación apuntaba en realidad a una vulnerabilidad distinta. Mientras investigaban infraestructura de Red Heron asociada con el backdoor JITTERLY y el rootkit SIXZUT, encontraron un archivo expuesto que contenía una explotación de Python ofuscada diseñada para los conmutadores Zyxel GS1900. El análisis reveló que la explotación verificaba específicamente las versiones de firmware parchadas contra CVE-2026-7273, lo que indicaba que fue desarrollada o actualizada para eludir esas actualizaciones específicas.

Binarly confirmó el 28 de septiembre que la explotación seguía siendo efectiva contra las diez versiones de firmware destinadas a corregir el desbordamiento de búfer anterior. Los investigadores descubrieron que, si bien la actualización de junio agregó controles para prevenir desbordamientos de búfer, los atacantes podían eludirlos corrompiendo un contador de parámetros antes de la validación. Esto permitió a la explotación sobrescribir memoria y ejecutar comandos sin autenticación incluso en dispositivos parchados. Binarly informó estos hallazgos a Zyxel el 29 de septiembre, y el proveedor confirmó la nueva vulnerabilidad el 11 de octubre.

Zyxel clasificó CVE-2026-107441 como un fallo separado porque la explotación también abusaba de la falta de validación de las longitudes de los parámetros HTTP. Las actualizaciones de firmware del 22 de octubre abordan esto limitando los tamaños de los parámetros y validando el recuento de parámetros antes de copiar datos en la memoria. Sigue sin estar claro si la explotación fue diseñada deliberadamente para eludir los parches de junio o si explotó una vulnerabilidad relacionada que las actualizaciones anteriores no lograron abordar completamente. Se aconseja a los administradores instalar el firmware más reciente inmediatamente para protegerse contra CVE-2026-107441.

Fuentes: BleepingComputer.