Un fallo en los switches Zyxel GS1900 ya estaba siendo utilizado por hackers, y el parche destinado a solucionarlo no funcionó. Investigadores de Binarly descubrieron que un exploit público afectaba a un error distinto al corregido por Zyxel, lo que ha sido confirmado ahora como una nueva vulnerabilidad identificada como CVE-2026-107441.

Un fallo en los switches Zyxel GS1900 ya estaba siendo utilizado por hackers, y el parche destinado a solucionarlo no funcionó. Investigadores de Binarly descubrieron que un exploit público afectaba a un error diferente al que Zyxel había parcheado. Zyxel ha confirmado ahora que se trata de un nuevo fallo, rastreado como CVE-2026-107441.

Zyxel publicó su corrección para el CVE-2026-7273 el 16 de junio de 2026. Después de que GreyNoise informara sobre ataques reales en septiembre, Binarly probó las diez versiones de firmware corregidas el 28 de septiembre y descubrió que todas seguían abiertas. Zyxel confirmó el nuevo error el 11 de octubre, lanzó una corrección el 22 de octubre y publicó su aviso el 3 de noviembre.

El fallo se encuentra en el programa web dispatcher.cgi. Tiene una puntuación crítica de 9.8, y un atacante puede ejecutar comandos como root sin necesidad de iniciar sesión. El mismo código débil también existe en httprestorecfg.cgi y httpupload.cgi.

Zyxel GS1900 Zero-Day Explotado

La página web del switch almacena los parámetros de solicitud en un bloque de memoria fijo de 140 ranuras. Cada ranura contiene 1.024 bytes. El código copia los datos primero y comprueba el recuento después. Un valor largo en la ranura 139 se desborda y sobrescribe el propio contador.

Un atacante puede configurar el contador con un número negativo y escribir en la memoria anterior al bloque. Esto les permite sobrescribir punteros de función y ejecutar sus propios comandos. El parche de Zyxel añadió una comprobación de recuento, pero la copia errónea sigue ocurriendo antes de que se ejecute dicha comprobación.

Binarly también afirma que Zyxel describió el error de forma incorrecta. El fallo reside en la memoria global, no en la pila (stack). Además, funciona a través de HTTP normal desde cualquier red que pueda alcanzar el switch, por lo que Binarly lo califica con una puntuación más alta que el 8.8 que otorgó Zyxel.

GreyNoise indica que un actor atacó 996 switches GS1900 en 48 países alrededor del 17 de agosto. El actor robó configuraciones de dispositivos, contraseñas de root hasheadas y detalles de la red. Un total de 564 de esos switches seguían utilizando los inicios de sesión predeterminados de fábrica. Italia, Estados Unidos y Taiwán fueron los países con más víctimas.

El exploit era un script de Python oculto con PyArmor. Extraía un script recolector del servidor del atacante mediante TFTP y luego copiaba los datos robados a una carpeta legible vía web. GreyNoise vincula al actor con la campaña de Gitea que Acronis llamó Red Heron, basándose en servidores y malware compartidos.

Esa campaña utilizó JITTERLY, una puerta trasera de Linux con más de 30 comandos. Oculta en su interior un rootkit llamado SIXZUT, que puede encubrir archivos, procesos y enlaces de red. Binarly encontró sus muestras mientras comprobaba este servidor para detecciones de la Binarly Transparency Platform.

CISA añadió el CVE-2026-7273 a su lista de Vulnerabilidades Explotadas Conocidas el 21 de septiembre. Binarly dice ahora que, o bien el primer parche de Zyxel era incorrecto, o los ataques afectaron a un error diferente al nombrado por CISA. En cualquier caso, el fallo descrito en el aviso de Binarly está presente en las diez versiones vendidas como correcciones.

El mismo actor también entró en sitios de WordPress, como muestra nuestra historia sobre hackers que explotan fallos de WordPress para robar registros gubernamentales. GreyNoise contabilizó más de 18.000 registros robados en un caso.

Actualiza cada switch GS1900 a la corrección del 22 de octubre o posterior de Zyxel. Retira las páginas de gestión web de internet y limítalas a redes de administración confiables. Cambia todas las contraseñas predeterminadas inmediatamente.

CISA también recomienda a los equipos revisar los dispositivos en busca de actividad de administración inusual, configuraciones modificadas y solicitudes web extrañas. Debido a que los atacantes obtuvieron credenciales de root hasheadas, trata cualquier switch expuesto como posiblemente comprometido y rota sus contraseñas.