La empresa de ciberseguridad GreyNoise afirma que Zyxel ha publicado una actualización de seguridad para una vulnerabilidad de día cero en sus switches de la serie GS1900. Los atacantes la usaron para comprometer 996 dispositivos en 48 países.
La vulnerabilidad, identificada como CVE-2026-107441, permite escribir fuera de los límites de memoria en la interfaz web de administración de los switches. Un atacante sin autenticar y con acceso a la red podía enviar solicitudes HTTP especialmente diseñadas para ejecutar comandos del sistema operativo. Los atacantes aprovecharon el fallo para descargar un script que recopilaba configuraciones de dispositivos, credenciales root cifradas mediante hash e información de red.
En junio, Zyxel había publicado actualizaciones para otra vulnerabilidad, CVE-2026-7273, que afectaba a los mismos switches. GreyNoise atribuyó inicialmente los ataques a ese fallo anterior. Investigadores de Binarly, empresa especializada en seguridad del firmware, encontraron después un exploit dirigido a una vulnerabilidad distinta que seguía funcionando incluso en el firmware actualizado para CVE-2026-7273.
Binarly comunicó sus hallazgos a Zyxel el 29 de septiembre, y Zyxel confirmó la nueva vulnerabilidad el 11 de octubre. La empresa publicó actualizaciones de firmware el 22 de octubre. Estas limitan el tamaño de los parámetros HTTP y validan su cantidad antes de copiar datos a la memoria. Zyxel publicó un aviso de seguridad el 3 de noviembre.
GreyNoise observó desde alrededor del 17 de agosto la actividad contra los switches del presunto actor de amenazas Kapibala, de habla china. La empresa vinculó a Kapibala con la campaña Red Heron. No está claro si el exploit recuperado se desarrolló deliberadamente para eludir las actualizaciones de junio.
Comentarios
0Aún no hay comentarios. Escribe el primero.