Zyxel ha corregido una vulnerabilidad de día cero (CVE-2026-107441) en sus switches de la serie GS1900, la cual permitió a hackers comprometer casi 1,000 dispositivos para robar credenciales y configuraciones. Inicialmente se confundió con un fallo ya parcheado, pero se descubrió que el ataque lograba evadir las actualizaciones previas. Zyxel ya ha lanzado los parches de seguridad definitivos y recomienda a los administradores actualizarlos inmediatamente.





Zyxel ha parcheado una vulnerabilidad de día cero en sus switches de red de la serie GS1900 que los hackers explotaron para comprometer casi 1,000 dispositivos en todo el mundo y robar archivos de configuración y credenciales.

La vulnerabilidad, identificada como CVE-2026-107441, es un fallo de escritura fuera de límites en la interfaz de gestión web de los switches que permite a un atacante no autenticado con acceso a la red ejecutar comandos del sistema operativo mediante solicitudes HTTP especialmente diseñadas.

El fallo afecta a diez modelos de switches GS1900, y Zyxel lanzó actualizaciones de seguridad el 22 de octubre y publicó un aviso de seguridad el 3 de noviembre.




Sin embargo, la vulnerabilidad se confundió inicialmente con un fallo anterior que Zyxel ya había parcheado meses antes de que comenzaran los ataques.

Ataques vinculados al fallo de día cero

El 16 de junio de 2026, Zyxel lanzó actualizaciones de seguridad para abordar CVE-2026-7273, una vulnerabilidad de desbordamiento de búfer previo a la autenticación que afectaba a los mismos switches GS1900.

A partir del 17 de agosto, la empresa de ciberseguridad GreyNoise observó a un presunto actor de amenazas de habla china, rastreado como Kapibala, explotando switches Zyxel, informando que los atacantes comprometieron 996 dispositivos en 48 países.

Los actores de amenazas explotaron el fallo para ejecutar comandos remotamente antes de descargar un script que recopilaba configuraciones de dispositivos, credenciales de root hasheadas e información de red.

GreyNoise vinculó a Kapibala con la campaña de hacking Red Heron, la cual Acronis informó previamente que estaba explotando una vulnerabilidad crítica en el servicio Git auto-alojado Gitea.

Cuando GreyNoise reveló la campaña el 21 de septiembre, atribuyó la explotación a CVE-2026-7273, la vulnerabilidad que Zyxel había parcheado en junio.

Ese mismo día, CISA añadió CVE-2026-7273 a su catálogo de Vulnerabilidades Explotadas Conocidas, exigiendo que las agencias federales solucionaran el fallo.

Sin embargo, investigadores de la empresa de seguridad de firmware Binarly descubrieron que el exploit utilizado en los ataques en realidad apuntaba a una vulnerabilidad separada y previamente desconocida que permanecía sin parchear.

Mientras investigaban la infraestructura de Red Heron vinculada al backdoor JITTERLY y al rootkit SIXZUT, los investigadores de Binarly encontraron un archivo expuesto que contenía un exploit de Python ofuscado dirigido a los switches Zyxel GS1900.

Después de analizar el exploit, los investigadores descubrieron que verificaba específicamente las versiones de firmware parcheadas para CVE-2026-7273, lo que indica que el exploit había sido desarrollado o actualizado para atacar esas versiones.

Binarly confirmó el 28 de septiembre que el exploit seguía siendo efectivo contra las diez versiones de firmware parcheadas para CVE-2026-7273.

Los investigadores determinaron que la actualización de seguridad anterior añadió comprobaciones para evitar un desbordamiento de búfer, pero los atacantes podían eludirlas corrompiendo un contador de parámetros antes de que fuera validado.

Esto permitió que el exploit sobrescribiera la memoria y ejecutara comandos sin autenticación, incluso en switches que ejecutaban las actualizaciones de seguridad anteriores.

Binarly informó de sus hallazgos a Zyxel el 29 de septiembre, y el proveedor confirmó la nueva vulnerabilidad el 11 de octubre, asignándole el código CVE-2026-107441.

Zyxel lo clasificó como un fallo separado porque el exploit también abusaba de la falta de validación de las longitudes de los parámetros HTTP.

El 22 de octubre, Zyxel lanzó nuevas actualizaciones de firmware que limitan el tamaño de los parámetros y validan el recuento de los mismos antes de copiar los datos en la memoria, evitando la técnica de explotación.

Aunque el exploit recuperado apuntaba específicamente al firmware parcheado para CVE-2026-7273, no está claro si fue desarrollado deliberadamente para evadir esas actualizaciones o si explotó una vulnerabilidad relacionada que los parches anteriores no lograron solucionar.

Se recomienda a los administradores de los switches Zyxel GS1900 afectados que instalen las últimas actualizaciones de firmware para protegerse contra CVE-2026-107441.



Fuente:
BleepingComputer