La CISA añadió una vulnerabilidad de desbordamiento de búfer en switches Zyxel serie GS1900 a su catálogo de fallos explotados, permitiendo la ejecución de comandos remotos. Zyxel ya lanzó parches para solucionar este problema. Paralelamente, se reportó la explotación activa de un fallo en Veeam Agent para Windows que permite a atacantes locales obtener privilegios de sistema.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) añadió el lunes un fallo de seguridad ya parcheado que afecta a los switches de la serie Zyxel GS1900 a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV Known Exploited Vulnerabilities), citando pruebas de explotación activa.

La vulnerabilidad, identificada como CVE-2026-7273 (puntuación CVSS: 8.8), es un desbordamiento de búfer basado en pila que podría resultar en la ejecución arbitraria de comandos del sistema operativo (OS).

"Una vulnerabilidad de desbordamiento de búfer basada en pila en el programa CGI del firmware del switch de la serie Zyxel GS1900 podría permitir que un atacante no autenticado basado en LAN explote el fallo y potencialmente ejecute comandos del OS a través de una solicitud HTTP manipulada", afirmó Zyxel en un aviso publicado en junio de 2026.

El problema ha sido solucionado en las siguientes versiones:

* GS1900-8 2.90(AAHH.1)C0 y anteriores - Solucionado en 2.90(AAHH.2)C0
* GS1900-8HP 2.90(AAHI.1)C0 y anteriores - Solucionado en 2.90(AAHI.2)C0
* GS1900-10HP 2.90(AAZI.1)C0 y anteriores - Solucionado en 2.90(AAZI.2)C0
* GS1900-16 2.90(AAHJ.1)C0 y anteriores - Solucionado en 2.90(AAHJ.2)C0
* GS1900-24 2.90(AAHL.1)C0 y anteriores - Solucionado en 2.90(AAHL.2)C0
* GS1900-24E 2.90(AAHK.1)C0 y anteriores - Solucionado en 2.90(AAHK.2)C0
* GS1900-24EP 2.90(ABTO.1)C0 y anteriores - Solucionado en 2.90(ABTO.2)C0
* GS1900-24HPv2 2.90(ABTP.1)C0 y anteriores - Solucionado en 2.90(ABTP.2)C0
* GS1900-48 2.90(AAHN.1)C0 y anteriores - Solucionado en 2.90(AAHN.2)C0
* GS1900-48HPv2 2.90(ABTQ.1)C0 y anteriores - Solucionado en 2.90(ABTQ.2)C0

CISA no ha revelado quién estuvo detrás de los esfuerzos de explotación, cuándo comenzaron, a cuántas organizaciones se ha atacado, cuántas han tenido éxito y qué hicieron los atacantes una vez dentro del servicio vulnerable.

Zyxel acreditó a Lei Gu, Jun Cao, Zhiqing Rui, Jingzheng Wu y Tianyue Luo de ISCAS por descubrir y reportar la vulnerabilidad. Al momento de escribir esto, la empresa aún no ha revisado la alerta para confirmar la explotación activa.

Ante la explotación activa, las agencias de la Rama Ejecutiva Civil Federal (FCEB) deben aplicar las correcciones antes del 24 de septiembre de 2026 para obtener una protección óptima.

Explotación activa de un fallo en Veeam Agent para Windows

Esta revelación llega mientras Arctic Wolf advertía sobre la explotación activa de CVE-2026-32996 (puntuación CVSS: 7.3), una vulnerabilidad de escalada de privilegios locales en Veeam Agent para Microsoft Windows que permite a un atacante con acceso local obtener el control a nivel de SYSTEM de los endpoints afectados.

"El problema surge del manejo de las sesiones de cliente elevadas del servicio Veeam Endpoint Backup a través de la tubería nombrada gRPC local \\.\pipe\Veeam\VAW\ServiceConnectionPipe", dijo la empresa. "El servicio almacena en caché un principal de administrador elevado contra un UID de sesión controlado por el cliente que no está vinculado al usuario o conexión solicitante".

"Debido a que los UIDs de sesión elevados se escriben en C:\ProgramData\Veeam\Endpoint\Svc.VeeamEndpointBackup.log, que los usuarios estándar pueden leer, un atacante puede obtener un UID válido y abusar de él para ejecutar comandos como SYSTEM. El PoC público de GitHub demuestra esto ejecutando whoami y escribiendo la salida en un archivo".

Fuente:
THN