Zyxel corrige une faille zero-day exploitée pour compromettre près de 1 000 commutateurs GS1900

Zyxel a corrigé une vulnérabilité zero-day dans ses commutateurs réseau de la série GS1900. La faille, référencée sous l’identifiant CVE-2026-107441, est une écriture hors limites dans l’interface de gestion web qui permet à un attaquant non authentifié disposant d’un accès au réseau d’exécuter des commandes du système d’exploitation. Elle touche dix modèles GS1900. Zyxel a publié des mises à jour de sécurité le 22 octobre 2026 et a diffusé un avis de sécurité le 3 novembre 2026.

GreyNoise a observé un acteur de la menace présumé sinophone, qu’il suit sous le nom de Kapibala, exploiter des commutateurs Zyxel à partir du 17 août 2026 environ. Les attaquants ont compromis 996 appareils dans 48 pays, exécuté des commandes à distance et téléchargé un script qui collectait les configurations des appareils, les identifiants root hachés et des informations sur le réseau. GreyNoise a rattaché Kapibala à la campagne Red Heron, dont Acronis avait précédemment indiqué qu’elle exploitait une vulnérabilité critique du service Git auto-hébergé Gitea.

L’exploitation a d’abord été attribuée à la faille CVE-2026-7273, que Zyxel a corrigée le 16 juin 2026 et que la CISA a ajoutée à son catalogue Known Exploited Vulnerabilities. Des chercheurs de Binarly ont constaté que l’exploit ciblait en réalité une autre vulnérabilité, jusque-là inconnue. Binarly a confirmé le 28 septembre 2026 que l’exploit restait efficace contre les dix versions de firmware corrigées pour la faille CVE-2026-7273. Binarly a signalé sa découverte à Zyxel le 29 septembre, et Zyxel a confirmé la nouvelle vulnérabilité le 11 octobre. Il est conseillé aux administrateurs d’installer le dernier firmware.

Pourquoi c’est important Les organisations qui utilisent des commutateurs Zyxel GS1900 ne peuvent pas compter sur le correctif de juin pour la faille CVE-2026-7273 afin de bloquer cet exploit, puisque, selon Binarly, il fonctionnait toujours contre ces versions de firmware. Les propriétaires d’actifs devraient vérifier quel firmware équipe leurs appareils GS1900 et appliquer les mises à jour du 22 octobre. Les investigateurs qui examinent des compromissions de commutateurs devraient vérifier les fichiers de configuration et l’exposition des identifiants root, car le script signalé collectait les deux.