Wprowadzenie do problemu / definicja
Seria przełączników Zyxel GS1900 ponownie znalazła się w centrum zainteresowania zespołów bezpieczeństwa po ujawnieniu nowej podatności, która omija wcześniejszą poprawkę producenta. Problem dotyczy błędu typu out-of-bounds write w komponencie CGI obsługującym żądania HTTP w interfejsie zarządzania, co może prowadzić do zdalnego wykonania poleceń systemowych bez uwierzytelnienia.
W praktyce oznacza to, że atakujący mający dostęp do interfejsu zarządzania przez sieć lokalną może przejąć pełną kontrolę nad urządzeniem i wykonywać polecenia z uprawnieniami roota.
W skrócie
Zyxel opublikował nową poprawkę dla 10 modeli przełączników GS1900 po wykryciu podatności CVE-2026-107441. Luka pozwala na wykonanie poleceń systemowych za pomocą specjalnie spreparowanego żądania HTTP.
- poprzednia poprawka 2.90 Patch 2 nie blokowała rzeczywistego łańcucha ataku,
- problem dotyczy webowego interfejsu zarządzania,
- skuteczne wykorzystanie może prowadzić do przejęcia urządzenia jako root,
- producent zaleca przejście na firmware 2.90 Patch 3.
Kontekst / historia
Pierwsze działania naprawcze producent podjął 16 czerwca 2026 r., publikując advisory dotyczące CVE-2026-7273 oraz udostępniając firmware 2.90 Patch 2. Sytuacja nabrała większej wagi 21 września 2026 r., gdy luka została dodana do katalogu Known Exploited Vulnerabilities, co potwierdziło jej aktywne wykorzystanie.
Dalsze analizy wykazały jednak, że exploit obserwowany w rzeczywistych kampaniach nadal działał również na urządzeniach zainstalowanych z Patch 2. W odpowiedzi 3 listopada 2026 r. Zyxel opublikował nowe advisory dla CVE-2026-107441 i wskazał konieczność aktualizacji do wersji 2.90 Patch 3.
To klasyczny przykład niepełnej poprawki, czyli sytuacji, w której producent usuwa część błędu, ale nie zamyka faktycznej ścieżki eksploatacji. W środowiskach infrastrukturalnych takie niedopatrzenie może mieć szczególnie poważne skutki.
Analiza techniczna
Podatność znajduje się w programie CGI odpowiedzialnym za obsługę panelu WWW przełącznika. Mechanizm przetwarzania parametrów HTTP zapisuje dane w strukturze o stałej pojemności przewidzianej dla maksymalnie 140 parametrów.
Atak polega na dostarczeniu zbyt dużego parametru w odpowiednim momencie przetwarzania żądania. Taki parametr może nadpisać pamięć poza dozwolonym obszarem, w tym licznik parametrów, a następnie doprowadzić do dalszego zapisu poza buforem. Efektem może być zmiana logiki wykonania programu lub kontrolowanego wywołania funkcji, co finalnie umożliwia uruchomienie polecenia wskazanego przez atakującego.
Kluczowy problem wcześniejszej poprawki polegał na tym, że walidacja następowała zbyt późno. Patch 2 dodawał kontrolę licznika dopiero po skopiowaniu złośliwie dużego parametru do pamięci. Jeśli licznik został już wcześniej nadpisany, zabezpieczenie nie zatrzymywało dalszej korupcji pamięci.
W Patch 3 producent zmienił kolejność operacji i wzmocnił walidację wejścia. Najpierw sprawdzany jest limit parametrów, a dopiero później następuje kopiowanie danych. Dodatkowo ograniczany jest rozmiar kopiowanych wartości, co lepiej odpowiada zasadom bezpiecznego parsowania danych wejściowych.
Podatność dotyczy następujących modeli:
- GS1900-8
- GS1900-8HP
- GS1900-10HP
- GS1900-16
- GS1900-24
- GS1900-24E
- GS1900-24EP
- GS1900-24HPv2
- GS1900-48
- GS1900-48HPv2
Dla wszystkich wymienionych urządzeń firmware 2.90 Patch 2 i starsze należy uznać za wymagające aktualizacji.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem luki jest możliwość wykonania poleceń systemowych jako root bez logowania do panelu administracyjnego. Oznacza to pełne przejęcie urządzenia i naruszenie poufności, integralności oraz dostępności.
Przejęty przełącznik może zostać użyty do dalszych działań wewnątrz organizacji, w tym do pozyskiwania informacji o topologii sieci, przechwytywania poświadczeń, manipulowania ruchem czy utrzymywania trwałego dostępu do infrastruktury.
- kradzież konfiguracji i danych o sieci,
- pozyskanie haszowanych poświadczeń roota,
- dalsza penetracja segmentów LAN,
- podsłuch i przekierowanie ruchu,
- utrzymanie długotrwałej obecności w środowisku.
Dodatkowym problemem jest fałszywe poczucie bezpieczeństwa po wdrożeniu wcześniejszej poprawki. Organizacje, które uznały Patch 2 za ostateczne rozwiązanie, mogły pozostawić urządzenia nadal podatne na praktyczny exploit.
Rekomendacje
Najważniejszym krokiem jest niezwłoczna aktualizacja wszystkich objętych modeli do wersji 2.90 Patch 3 odpowiedniej dla konkretnego urządzenia. Samo wdrożenie Patch 2 nie powinno być traktowane jako wystarczające zabezpieczenie.
- ograniczyć dostęp do interfejsu WWW wyłącznie do wydzielonych sieci administracyjnych,
- usunąć ekspozycję interfejsów zarządzania na zbędne segmenty LAN i Internet,
- przeanalizować logi HTTP, zdarzenia administracyjne i nietypowe restarty usług,
- zweryfikować integralność konfiguracji oraz porównać ją z wersją referencyjną,
- wymusić zmianę poświadczeń administracyjnych,
- sprawdzić, czy nie są używane domyślne dane logowania,
- objąć urządzenia monitoringiem ruchu wychodzącego,
- rozważyć rotację sekretów używanych przez powiązane systemy zarządzania.
Jeśli istnieje podejrzenie kompromitacji, sama aktualizacja firmware może nie wystarczyć. W takim przypadku urządzenie należy traktować jako potencjalnie przejęte i przeprowadzić pełną analizę śladów, a w razie potrzeby odtworzyć je z zaufanego obrazu.
Podsumowanie
Przypadek Zyxel GS1900 pokazuje, że skuteczność poprawki bezpieczeństwa należy oceniać nie tylko po numerze CVE czy wersji firmware, ale przede wszystkim po tym, czy rzeczywiście zamyka ona całą ścieżkę ataku. CVE-2026-107441 ujawnia ryzyko wynikające z niepełnej walidacji danych wejściowych i błędnej kolejności operacji w kodzie odpowiedzialnym za przetwarzanie żądań.
Dla administratorów oznacza to konieczność pilnej aktualizacji do Patch 3, ponownej oceny ekspozycji interfejsów zarządzania i sprawdzenia, czy urządzenia nie zostały już wykorzystane w ataku. To również przypomnienie, że infrastruktura sieciowa wymaga tak samo rygorystycznego patch managementu i monitoringu jak serwery czy stacje końcowe.
Źródła
- Zyxel security advisory for out-of-bounds write vulnerability in GS1900 series switches — https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-out-of-bounds-write-vulnerability-in-gs1900-series-switches-11-03-2026
- Security Advisories | Zyxel Networks — https://www.zyxel.com/global/en/support/security-advisories
- Zyxel GS1900 Patch Fails to Block Zero-Day Exploit Allowing Root Command Execution — https://thehackernews.com/2026/11/zyxel-gs1900-patch-fails-to-block-zero.html
- REsearch Resources | Binarly — https://www.binarly.io/research/resources
- GreyNoise Intelligence Blog — https://www.greynoise.io/blog