Zyxel, 996 anahtarı ele geçirmek için kullanılan sıfır gün açığını yamaladı

Siber güvenlik şirketi GreyNoise'a göre Zyxel, saldırganların 48 ülkede 996 cihazı ele geçirmek için kullandığı GS1900 serisi ağ anahtarlarındaki sıfır gün açığı için güvenlik güncellemesi yayımladı.

CVE-2026-107441 olarak izlenen açık, anahtarların web yönetim arayüzünde bellek sınırlarının dışında yazmaya yol açıyor. Ağ erişimi olan kimlik doğrulamasız bir saldırgan, özel hazırlanmış HTTP istekleri göndererek işletim sistemi komutları çalıştırabiliyordu. Saldırganlar bu açığı, cihaz yapılandırmalarını, hash'lenmiş root kimlik bilgilerini ve ağ bilgilerini toplayan bir betiği indirmek için kullandı.

Zyxel, aynı anahtarları etkileyen farklı bir açık olan CVE-2026-7273 için haziran ayında güncellemeler yayımlamıştı. GreyNoise saldırıları başlangıçta bu eski açığa bağladı. Donanım yazılımı güvenlik şirketi Binarly'nin araştırmacıları daha sonra, CVE-2026-7273 için güncellenmiş donanım yazılımlarında da çalışan ve ayrı bir açığı hedefleyen bir istismar buldu.

Binarly bulgularını 29 Eylül'de Zyxel'e bildirdi; Zyxel yeni açığı 11 Ekim'de doğruladı. Şirket 22 Ekim'de donanım yazılımı güncellemeleri yayımladı. Bu güncellemeler HTTP parametrelerinin boyutlarını sınırlandırıyor ve verileri belleğe kopyalamadan önce parametre sayısını doğruluyor. Zyxel güvenlik duyurusunu 3 Kasım'da yayımladı.

GreyNoise, şüpheli Çince konuşan tehdit aktörü Kapibala'nın anahtarlara yönelik faaliyetini yaklaşık 17 Ağustos'tan itibaren gözlemledi. Şirket, Kapibala'yı Red Heron kampanyasıyla ilişkilendirdi. Bulunan istismarın haziran güncellemelerini aşmak için kasıtlı olarak geliştirilip geliştirilmediği belirsizliğini koruyor.