CISA ha alertado sobre la explotación activa de una vulnerabilidad grave (CVE-2026-7273) en los switches Zyxel serie GS1900, que permite ejecutar comandos del sistema mediante solicitudes HTTP maliciosas. Se estima que un actor chino ya ha comprometido casi 1,000 dispositivos en 48 países para exfiltrar datos sensibles. Zyxel ya lanzó actualizaciones de firmware y se insta urgentemente a todas las organizaciones a actualizar sus equipos para evitar ataques. 

Los atacantes están explotando activamente una vulnerabilidad de severidad alta en los switches de la serie Zyxel GS1900, según la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA).

El fallo (rastreado como CVE-2026-7273) se debe a un desbordamiento de búfer basado en pila en el programa CGI que permite a los actores de amenazas sin privilegios en la red de área local (LAN) ejecutar comandos del sistema operativo a través de solicitudes HTTP maliciosamente diseñadas.

Zyxel publicó actualizaciones de seguridad para abordar este problema el 16 de junio y aconsejó a los clientes actualizar su firmware "para una protección óptima".

Si bien Zyxel aún no ha actualizado su aviso para confirmar la explotación activa de este fallo, la CISA añadió el CVE-2026-7273 a su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el lunes y ordenó a las agencias de la Rama Ejecutiva Civil Federal (FCEB) asegurar sus switches contra los ataques en curso para el jueves, según lo mandatado por la Directiva Operativa Vinculante (BOD) 26-04.

"Este tipo de vulnerabilidad es un vector de ataque frecuente para los ciberactores maliciosos y supone riesgos significativos para la empresa federal", afirmó la agencia de ciberseguridad.

"Si bien la BOD 26-04 se aplica solo a las agencias FCEB, la CISA anima a todas las organizaciones a adoptar una gestión de vulnerabilidades basada en el riesgo y a priorizar la remediación de las vulnerabilidades del Catálogo KEV".

Modelo afectado Versión afectada Disponibilidad del parche GS1900-8 2.90(AAHH.1)C0 y anteriores 2.90(AAHH.2)C0 GS1900-8HP 2.90(AAHI.1)C0 y anteriores 2.90(AAHI.2)C0 GS1900-10HP 2.90(AAZI.1)C0 y anteriores 2.90(AAZI.2)C0 GS1900-16 2.90(AAHJ.1)C0 y anteriores 2.90(AAHJ.2)C0 GS1900-24 2.90(AAHL.1)C0 y anteriores 2.90(AAHL.2)C0 GS1900-24E 2.90(AAHK.1)C0 y anteriores 2.90(AAHK.2)C0 GS1900-24EP 2.90(ABTO.1)C0 y anteriores 2.90(ABTO.2)C0 GS1900-24HPv2 2.90(ABTP.1)C0 y anteriores 2.90(ABTP.2)C0 GS1900-48 2.90(AAHN.1)C0 y anteriores 2.90(AAHN.2)C0 GS1900-48HPv2 2.90(ABTQ.1)C0 y anteriores 2.90(ABTQ.2)C0

Aunque la CISA no ha publicado detalles sobre los ataques que abusan del CVE-2026-7273, la empresa de inteligencia de amenazas GreyNoise señaló en un informe del lunes que detectó los primeros signos de explotación el jueves pasado.

Según GreyNoise, un presunto ciberactor malicioso (MCA) de habla china ha comprometido casi 1.000 switches Zyxel GS1900 como parte de una campaña que tuvo como objetivo más de una docena de otras vulnerabilidades que afectan a una amplia gama de software y productos tecnológicos.

"GreyNoise descubrió que el MCA tuvo como objetivo los switches gestionados inteligentes ZyXEL GS1900 a nivel mundial con un exploit novedoso de CVE-2026-7273. Al 17 de septiembre de 2026, este es el primer caso documentado públicamente de explotación de esta vulnerabilidad en el entorno real", afirmó. "El MCA explotó con éxito y exfiltró datos sensibles de 996 switches ZyXEL en 48 países".

Los dispositivos Zyxel suelen ser blanco de ataques porque muchos proveedores de servicios de internet en todo el mundo los proporcionan como equipo predeterminado para los nuevos contratos de servicio de internet.

En febrero, la empresa advirtió que no tenía planes de parchear un par de errores de día cero explotados activamente (CVE-2024-40891 y CVE-2024-40891) que afectan a routers al final de su vida útil que aún están disponibles para la venta en línea. En su lugar, la empresa aconsejó "encarecidamente" a los clientes que sustituyeran los routers por productos más nuevos cuyo firmware ya estuviera parcheado.

La CISA rastrea actualmente 13 vulnerabilidades de Zyxel que afectan a los routers, switches, firewalls y dispositivos NAS de la empresa que han sido o siguen siendo explotados en el entorno real.

Zyxel afirma que más de 1 millón de empresas utilizan sus soluciones de red en 150 mercados de todo el mundo.

Fuente:
BleepingComputer