Zyxel ha corretto una vulnerabilità zero-day precedentemente sconosciuta nella propria serie di switch di rete GS1900 dopo che gli hacker hanno sfruttato il difetto per compromettere quasi 1.000 dispositivi in tutto il mondo. Gli attaccanti hanno utilizzato la vulnerabilità per rubare file di configurazione e credenziali dai sistemi interessati in 48 paesi. Il difetto, tracciato come CVE-2026-107441, è un problema di scrittura fuori dai limiti all'interno dell'interfaccia di gestione web degli switch che consente ad attaccanti non autenticati con accesso alla rete di eseguire comandi del sistema operativo tramite richieste HTTP appositamente create.

La vulnerabilità interessa dieci modelli specifici di switch GS1900. Zyxel ha rilasciato aggiornamenti di sicurezza il 22 ottobre e ha pubblicato un avviso di sicurezza formale il 3 novembre. Inizialmente, gli attacchi sono stati identificati erroneamente come uno sfruttamento di un difetto più vecchio che era già stato corretto mesi prima. Il 16 giugno 2026, Zyxel aveva emesso aggiornamenti per CVE-2026-7273, una vulnerabilità di buffer overflow pre-autenticazione che interessava la stessa hardware. Tuttavia, i ricercatori hanno successivamente determinato che gli attacchi attivi stavano prendendo di mira un problema separato e non corretto.

L'azienda di cybersecurity GreyNoise ha osservato per la prima volta la campagna intorno al 17 agosto, attribuendola a un presunto attore minaccioso di lingua cinese noto come Kapibala. Il gruppo ha compromesso 996 dispositivi e ha distribuito script per raccogliere configurazioni dei dispositivi, credenziali root hashate e informazioni sulla rete. GreyNoise ha collegato Kapibala alla campagna di hacking Red Heron e inizialmente ha attribuito lo sfruttamento a CVE-2026-7273, portando la CISA ad aggiungere tale identificatore al proprio catalogo delle vulnerabilità note sfruttate il 21 settembre.

I ricercatori di Binarly hanno successivamente scoperto che lo exploit prendeva di mira effettivamente una vulnerabilità distinta. Mentre investigavano l'infrastruttura Red Heron associata al backdoor JITTERLY e al rootkit SIXZUT, hanno trovato un archivio esposto contenente uno exploit Python offuscato progettato per gli switch Zyxel GS1900. L'analisi ha rivelato che lo exploit controllava specificamente le versioni del firmware corrette contro CVE-2026-7273, indicando che era stato sviluppato o aggiornato per eludere quegli aggiornamenti specifici.

Binarly ha confermato il 28 settembre che lo exploit rimaneva efficace contro tutte e dieci le release del firmware destinate a correggere il precedente buffer overflow. I ricercatori hanno scoperto che, sebbene l'aggiornamento di giugno avesse aggiunto controlli per prevenire i buffer overflow, gli attaccanti potevano eluderli corrompendo un contatore dei parametri prima della convalida. Questo ha permesso allo exploit di sovrascrivere la memoria ed eseguire comandi senza autenticazione anche sui dispositivi corretti. Binarly ha riferito questi risultati a Zyxel il 29 settembre e il fornitore ha confermato la nuova vulnerabilità l'11 ottobre.

Zyxel ha classificato CVE-2026-107441 come un difetto separato perché lo exploit sfruttava anche la mancata convalida delle lunghezze dei parametri HTTP. Gli aggiornamenti del firmware del 22 ottobre affrontano questo problema limitando le dimensioni dei parametri e convalidando il conteggio dei parametri prima di copiare i dati nella memoria. Rimane incerto se lo exploit sia stato deliberatamente creato per eludere le patch di giugno o se abbia sfruttato una vulnerabilità correlata che gli aggiornamenti precedenti non sono riusciti a risolvere completamente. Si consiglia agli amministratori di installare immediatamente l'ultimo firmware per proteggersi da CVE-2026-107441.

Fonti: BleepingComputer.