Switches de rede Zyxel GS1900 que receberam a correção anterior do fabricante para uma falha explorada ativamente ainda estão vulneráveis ao exploit usado pelos atacantes, segundo pesquisadores da Binarly.
O exploit permite que qualquer pessoa com acesso à interface de gerenciamento web de um switch execute comandos nele sem precisar fazer login. A Zyxel lançou novo firmware para 10 modelos GS1900 que fecha a brecha.
A correção anterior é o firmware 2.90 Patch 2, citado em um alerta de segurança de 16 de junho para uma falha rastreada como CVE (Common Vulnerabilities and Exposures, ou identificador de vulnerabilidades e exposições comuns) CVE-2026-7273. O novo firmware 2.90 Patch 3 corrige uma falha agora rastreada separadamente como CVE-2026-107441, da qual o exploit depende. Ele foi publicado em 23 de outubro, e o fabricante anunciou a atualização em um alerta divulgado no início desta semana.
Os pesquisadores, que reportaram a falha ao fabricante em 29 de setembro, a classificam como dia zero. Os atacantes já tinham um exploit funcional para ela naquela data.
A GreyNoise, que monitora o tráfego de ataques por meio de uma rede de sensores, informou em 21 de setembro que atacantes roubaram dados de 996 switches GS1900 por volta de 17 de agosto. A empresa relacionou os ataques à CVE-2026-7273, e os pesquisadores afirmam que o exploit descrito por ela corresponde ao que eles encontraram.
Nem a GreyNoise nem a Binarly afirmam que os switches atacados estavam com a correção anterior instalada, e o alerta do fabricante não informa se a nova falha já foi explorada.
Quais switches precisam do novo firmware
O alerta de segurança da Zyxel lista as versões de firmware afetadas e corrigidas para cada modelo:
Switches com o Patch 2 ou qualquer firmware anterior precisam da versão Patch 3 correspondente ao seu modelo. As versões foram publicadas junto com as notas de lançamento do firmware.
O alerta não apresenta nenhuma solução alternativa para proprietários que ainda não podem atualizar. Também não informa se a atualização elimina o acesso que um atacante eventualmente já tenha obtido, nem o que os proprietários devem verificar caso um switch possa ter sido comprometido.
A U.S. Cybersecurity and Infrastructure Security Agency (CISA), agência de segurança cibernética e infraestrutura dos EUA, incluiu a CVE-2026-7273 em seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV, na sigla em inglês) em 21 de setembro e deu às agências federais até 24 de setembro para aplicar a correção do fabricante, o firmware Patch 2. A inclusão ocorreu no mesmo dia em que os ataques anteriores se tornaram públicos.
O alerta de vulnerabilidade dos pesquisadores afirma que a nova falha está presente em todas as 10 versões Patch 2. O documento também diz que “um atacante só precisa de alcance de rede ao serviço de gerenciamento”, enquanto o alerta do fabricante descreve um “atacante não autenticado baseado em rede local (LAN)”.
Os pesquisadores classificam a falha com nota 9,8 em 10 na escala de gravidade do Sistema de Pontuação de Vulnerabilidades Comuns (CVSS), enquanto o registro CVE do fabricante a classifica com 8,8. Segundo eles, os comandos do atacante são executados com privilégios de root.
Por que a correção anterior não impediu o exploit
A análise técnica da Binarly rastreia a falha até o programa que processa as requisições web no switch. Trata-se de uma escrita fora dos limites (out-of-bounds write), ou seja, o programa grava dados além da memória que foi alocada para eles.
O programa armazena cada parâmetro da requisição em uma área fixa, com capacidade para 140 parâmetros. Ele nunca verificava o tamanho de um parâmetro e, antes do Patch 2, também não verificava quantos parâmetros já tinha armazenado.
O exploit envia um 140º parâmetro grande demais, que ultrapassa o limite dessa área e sobrescreve o contador de parâmetros do programa. O parâmetro seguinte é então gravado fora da área, o que permite ao atacante trocar a função que o programa está prestes a chamar por outra que executa o comando do atacante.
O Patch 2 acrescentou uma verificação do contador, mas ela só ocorre depois que o parâmetro grande demais já foi copiado. Nesse momento, o contador já contém o valor definido pelo atacante, e a verificação não impede a gravação. Os pesquisadores afirmam que o exploit funciona contra o Patch 2 sem nenhuma alteração.
Eles testaram o exploit em firmware emulado e em hardware real, embora não informem qual modelo foi usado. A lista de firmwares compatíveis com o exploit inclui a versão Patch 2 para o GS1900-24.
De acordo com os pesquisadores, a Zyxel informou a eles que a CVE-2026-7273 se referia à ausência da verificação do contador e que a empresa trata a ausência da verificação de tamanho como uma falha separada, agora identificada como CVE-2026-107441.
No código do Patch 3, o contador é verificado antes da cópia de um parâmetro, e a cópia tem o tamanho limitado. Os pesquisadores afirmam que isso corrige a falha.
O que se sabe sobre os ataques
O relatório de ataques da GreyNoise afirma que os atacantes usaram o exploit para baixar um script de coleta de dados nos switches e deixaram os dados coletados para serem recuperados. As informações incluíam configurações dos switches, credenciais de root em formato de hash e dados de rede. Dos 996 switches, 564 ainda usavam as credenciais padrão de fábrica.
O relatório não informa qual firmware os switches executavam nem como os atacantes chegaram até eles. Ele afirma que os atacantes são iguais ou têm ligação com um grupo que a Acronis monitora como Red Heron e descreve como de língua chinesa. A Acronis associou uma backdoor chamada JITTERLY ao Red Heron em uma campanha anterior que teve como alvo servidores Gitea.
Os pesquisadores encontraram o exploit em 17 de setembro, em uma pasta aberta em um servidor que também funcionava como servidor de comando para o JITTERLY.
O alerta da Binarly oferece duas explicações. Ou a atualização Patch 2 foi uma correção defeituosa para a CVE-2026-7273, ou os ataques exploraram uma falha diferente daquela listada pela CISA.
Os pesquisadores afirmam que publicarão em breve uma versão reduzida do exploit como prova de conceito. Os dados do catálogo KEV da CISA, atualizados ontem, não incluem a CVE-2026-107441.
