Zyxel 修复被用于入侵近千台网络交换机的零日漏洞

Zyxel 已修补其 GS1900 系列网络交换机中的一个零日漏洞——黑客利用它入侵了全球近 1,000 台设备，并窃取配置文件和凭据。

该漏洞追踪编号为 CVE-2026-107441，是交换机 Web 管理界面中的一个越界写入缺陷，允许拥有网络访问权限的未认证攻击者使用特制的 HTTP 请求执行操作系统命令。

该缺陷影响十款 GS1900 交换机型号，Zyxel 于 10 月 22 日发布了安全更新，并于 11 月 3 日发布了安全公告。

然而，该漏洞最初被误认为是 Zyxel 在攻击开始前数月就已修补的一个旧缺陷。

与零日漏洞相关的攻击

2026 年 6 月 16 日，Zyxel 发布了修复 CVE-2026-7273 的安全更新——这是一个影响相同 GS1900 交换机的预认证缓冲区溢出漏洞。

从大约 8 月 17 日开始，网络安全公司 GreyNoise 观察到一个被追踪为 Kapibala 的疑似中文威胁行为者利用 Zyxel 交换机，报告称攻击者入侵了 48 个国家的 996 台设备。

这些威胁行为者利用该漏洞远程执行命令，随后下载一个脚本，收集设备配置、哈希的 root 凭据和网络信息。

GreyNoise 将 Kapibala 与 Red Heron 黑客活动联系起来，Acronis 此前曾报告该活动在利用自托管 Git 服务 Gitea 中的一个严重漏洞。

当 GreyNoise 于 9 月 21 日披露该活动时，它将此次利用归因于 CVE-2026-7273——Zyxel 已于 6 月修补的漏洞。

同一天，CISA 将 CVE-2026-7273 添加到其已知被利用漏洞目录中，要求联邦机构处理该缺陷。

然而，固件安全公司 Binarly 的研究人员发现，攻击中使用的利用程序实际上针对的是一个独立的、此前未知的、仍未修补的漏洞。

在调查与 JITTERLY 后门和 SIXZUT rootkit 相关的 Red Heron 基础设施时，Binarly 研究人员发现了一个暴露的压缩包，其中包含一个针对 Zyxel GS1900 交换机的混淆 Python 利用程序。

分析该利用程序后，研究人员发现它会专门检查是否为已修补 CVE-2026-7273 的固件版本，表明该利用程序已被开发或更新以针对这些版本。

Binarly 于 9 月 28 日确认，该利用程序对为 CVE-2026-7273 修补的所有十个固件版本仍然有效。

研究人员确定，较早的安全更新添加了防止缓冲区溢出的检查，但攻击者可以通过在参数计数器被验证之前将其破坏来绕过这些检查。

这使得该利用程序能够在无需身份验证的情况下覆写内存并执行命令，即使在运行较早安全更新的交换机上也是如此。

Binarly 于 9 月 29 日向 Zyxel 报告了其发现，该厂商于 10 月 11 日确认了新漏洞，并分配了 CVE-2026-107441。

Zyxel 将其归类为一个独立缺陷，因为该利用程序还滥用了对 HTTP 参数长度缺少验证的问题。

10 月 22 日，Zyxel 发布了新的固件更新，限制参数大小并在将数据复制到内存之前验证参数数量，从而阻止了该利用技术。

尽管恢复的利用程序专门针对已修补 CVE-2026-7273 的固件，但目前尚不清楚它是被刻意开发来绕过这些更新，还是利用了较早补丁未能解决的相关漏洞。

建议受影响的 Zyxel GS1900 交换机管理员安装最新的固件更新，以防范 CVE-2026-107441。