A Zyxel corrigiu uma vulnerabilidade de dia zero anteriormente desconhecida em seus switches de rede da série GS1900 após hackers explorarem a falha para comprometer quase 1.000 dispositivos em todo o mundo. Os atacantes usaram a vulnerabilidade para roubar arquivos de configuração e credenciais de sistemas afetados em 48 países. A falha, rastreada como CVE-2026-107441, é um problema de gravação fora dos limites dentro da interface de gerenciamento web dos switches que permite a atacantes não autenticados com acesso à rede executar comandos do sistema operacional por meio de solicitações HTTP especialmente elaboradas.

A vulnerabilidade afeta dez modelos específicos de switches GS1900. A Zyxel lançou atualizações de segurança em 22 de outubro e publicou um aviso de segurança formal em 3 de novembro. Inicialmente, os ataques foram mal identificados como uma exploração de uma falha mais antiga que já havia sido corrigida meses antes. Em 16 de junho de 2026, a Zyxel havia emitido atualizações para o CVE-2026-7273, uma vulnerabilidade de estouro de buffer pré-autenticação que afetava o mesmo hardware. No entanto, pesquisadores determinaram posteriormente que os ataques ativos estavam visando um problema separado e não corrigido.

A empresa de cibersegurança GreyNoise observou a campanha pela primeira vez por volta de 17 de agosto, atribuindo-a a um ator de ameaça suspeito de falar chinês conhecido como Kapibala. O grupo comprometeu 996 dispositivos e implantou scripts para coletar configurações de dispositivo, credenciais de root hashadas e informações de rede. A GreyNoise vinculou o Kapibala à campanha de hacking Red Heron e inicialmente atribuiu a exploração ao CVE-2026-7273, levando a CISA a adicionar esse identificador ao seu catálogo de vulnerabilidades exploradas conhecidas em 21 de setembro.

Pesquisadores da Binarly descobriram posteriormente que o exploit visava na verdade uma vulnerabilidade distinta. Enquanto investigavam a infraestrutura Red Heron associada ao backdoor JITTERLY e ao rootkit SIXZUT, encontraram um arquivo exposto contendo um exploit Python ofuscado projetado para switches Zyxel GS1900. A análise revelou que o exploit verificava especificamente versões de firmware corrigidas contra o CVE-2026-7273, indicando que foi desenvolvido ou atualizado para burlar essas atualizações específicas.

A Binarly confirmou em 28 de setembro que o exploit permanecia eficaz contra todas as dez versões de firmware destinadas a corrigir o estouro de buffer anterior. Os pesquisadores descobriram que, embora a atualização de junho adicionasse verificações para prevenir estouros de buffer, os atacantes poderiam burlá-las corrompendo um contador de parâmetros antes da validação. Isso permitiu que o exploit sobrescrevesse a memória e executasse comandos sem autenticação, mesmo em dispositivos corrigidos. A Binarly relatou essas descobertas à Zyxel em 29 de setembro, e o fabricante confirmou a nova vulnerabilidade em 11 de outubro.

A Zyxel classificou o CVE-2026-107441 como uma falha separada porque o exploit também abusava da validação ausente dos comprimentos dos parâmetros HTTP. As atualizações de firmware de 22 de outubro abordam isso limitando os tamanhos dos parâmetros e validando a contagem de parâmetros antes de copiar dados para a memória. Ainda não está claro se o exploit foi deliberadamente elaborado para burlar as correções de junho ou se explorou uma vulnerabilidade relacionada que as atualizações anteriores falharam em abordar completamente. Os administradores são aconselhados a instalar o firmware mais recente imediatamente para se proteger contra o CVE-2026-107441.

Fontes: BleepingComputer.