Zyxel a corrigé une vulnérabilité zero-day précédemment inconnue dans sa série de commutateurs réseau GS1900 après que des pirates aient exploité cette faille pour compromettre près de 1 000 appareils dans le monde. Les attaquants ont utilisé la vulnérabilité pour voler des fichiers de configuration et des identifiants à partir de systèmes affectés dans 48 pays. La faille, suivie sous l'identifiant CVE-2026-107441, est un problème d'écriture hors limites au sein de l'interface de gestion web des commutateurs, permettant aux attaquants non authentifiés disposant d'un accès réseau d'exécuter des commandes du système d'exploitation via des requêtes HTTP spécialement conçues.

La vulnérabilité affecte dix modèles spécifiques de commutateurs GS1900. Zyxel a publié des mises à jour de sécurité le 22 octobre et a diffusé un avis de sécurité formel le 3 novembre. Initialement, les attaques ont été mal identifiées comme une exploitation d'une faille plus ancienne qui avait déjà été corrigée plusieurs mois auparavant. Le 16 juin 2026, Zyxel avait publié des mises à jour pour la CVE-2026-7273, une vulnérabilité de débordement de tampon avant authentification affectant le même matériel. Cependant, les chercheurs ont par la suite déterminé que les attaques actives visaient un problème distinct et non corrigé.

L'entreprise de cybersécurité GreyNoise a d'abord observé la campagne vers le 17 août, l'attribuant à un acteur malveillant présumé parlant chinois connu sous le nom de Kapibala. Le groupe a compromis 996 appareils et déployé des scripts pour collecter les configurations des appareils, les identifiants racine hachés et les informations réseau. GreyNoise a lié Kapibala à la campagne de piratage Red Heron et a initialement attribué l'exploitation à la CVE-2026-7273, incitant le CISA à ajouter cet identifiant à son catalogue des vulnérabilités exploitées connues le 21 septembre.

Les chercheurs de Binarly ont par la suite découvert que l'exploit visait en réalité une vulnérabilité distincte. En enquêtant sur les infrastructures Red Heron associées au backdoor JITTERLY et au rootkit SIXZUT, ils ont trouvé une archive exposée contenant un exploit Python obscurci conçu pour les commutateurs Zyxel GS1900. L'analyse a révélé que l'exploit vérifiait spécifiquement les versions de micrologiciel corrigées contre la CVE-2026-7273, indiquant qu'il avait été développé ou mis à jour pour contourner ces mises à jour spécifiques.

Binarly a confirmé le 28 septembre que l'exploit restait efficace contre les dix versions de micrologiciel destinées à corriger le débordement de tampon antérieur. Les chercheurs ont constaté que, bien que la mise à jour de juin ait ajouté des vérifications pour empêcher les débordements de tampon, les attaquants pouvaient les contourner en corrompant un compteur de paramètres avant la validation. Cela a permis à l'exploit d'écraser la mémoire et d'exécuter des commandes sans authentification, même sur des appareils corrigés. Binarly a signalé ces résultats à Zyxel le 29 septembre, et le fournisseur a confirmé la nouvelle vulnérabilité le 11 octobre.

Zyxel a classé la CVE-2026-107441 comme une faille distincte car l'exploit exploitait également l'absence de validation des longueurs des paramètres HTTP. Les mises à jour de micrologiciel du 22 octobre traitent ce problème en limitant les tailles des paramètres et en validant le nombre de paramètres avant de copier les données dans la mémoire. Il reste incertain si l'exploit a été délibérément conçu pour contourner les correctifs de juin ou s'il exploitait une vulnérabilité connexe que les mises à jour antérieures n'avaient pas entièrement résolue. Les administrateurs sont invités à installer immédiatement le dernier micrologiciel pour se protéger contre la CVE-2026-107441.

Sources: BleepingComputer.