La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) ha confirmado que atacantes están explotando activamente una vulnerabilidad de alta gravedad en los switches de la serie GS1900 de Zyxel. La falla, identificada como CVE-2026-7273, permite a actores de amenazas sin privilegios en la red de área local ejecutar comandos del sistema operativo mediante peticiones HTTP manipuladas.
El problema se origina en un desbordamiento de búfer basado en pila en el programa CGI del dispositivo. Zyxel publicó actualizaciones de seguridad el 16 de junio y recomendó a los clientes actualizar el firmware para obtener una protección óptima. Sin embargo, la empresa aún no ha modificado su aviso para confirmar la explotación activa.
CISA añadió CVE-2026-7273 a su catálogo de vulnerabilidades explotadas conocidas (KEV) el lunes y ordenó a las agencias del Poder Ejecutivo Civil Federal (FCEB) asegurar sus switches contra los ataques en curso antes del jueves, en virtud de la Directiva Operativa Vinculante (BOD) 26-04.
Este tipo de vulnerabilidad es un vector de ataque frecuente para actores cibernéticos maliciosos y plantea riesgos significativos para la empresa federal. Si bien la BOD 26-04 solo se aplica a las agencias FCEB, CISA alienta a todas las organizaciones a adoptar una gestión de vulnerabilidades basada en riesgos y priorizar la remediación de las vulnerabilidades del catálogo KEV.
Aunque CISA no ha divulgado detalles sobre los ataques que aprovechan CVE-2026-7273, la firma de inteligencia de amenazas GreyNoise informó el lunes que detectó los primeros indicios de explotación el jueves pasado. Según GreyNoise, un presunto actor cibernético malicioso de habla china (MCA) ha comprometido cerca de 1.000 switches Zyxel GS1900 como parte de una campaña que también apuntó a más de una docena de otras vulnerabilidades que afectan a una amplia gama de productos de software y tecnología.
GreyNoise descubrió que el MCA atacó los switches ZyXEL GS1900 Smart Managed a nivel mundial con un exploit novedoso de CVE-2026-7273. Hasta el 17 de septiembre de 2026, este es el primer caso documentado públicamente de explotación en el mundo real de esta vulnerabilidad. El MCA explotó y exfiltró con éxito datos sensibles de 996 switches ZyXEL en 48 países.
Los dispositivos Zyxel son objetivos frecuentes porque muchos proveedores de servicios de internet de todo el mundo los suministran como equipo predeterminado para nuevos contratos. En febrero, la compañía advirtió que no tenía planes de parchear un par de vulnerabilidades de día cero explotadas activamente (CVE-2024-40891 y CVE-2024-40891) que afectan a routers al final de su vida útil y que aún se venden en línea. En su lugar, recomendó encarecidamente reemplazar esos routers por productos más nuevos con firmware ya parcheado.
Actualmente, CISA rastrea 13 vulnerabilidades de Zyxel que afectan a routers, switches, firewalls y dispositivos NAS de la compañía y que han sido o siguen siendo explotadas en el mundo real. Zyxel afirma que más de 1 millón de empresas utilizan sus soluciones de red en 150 mercados de todo el mundo.
Contexto adicional
- CISA alerta de la explotación activa de tres fallos del kernel de Linux
- Cisco advierte de un zero-day de máxima gravedad en ISE explotado en ataques
- Un fallo crítico de ScreenConnect ya se explota activamente
- CISA: un fallo crítico de RCE en VMware ahora es explotado por bandas de ransomware
- CISA: los hackers ya explotan un fallo de máxima gravedad en GitLab
Deja una respuesta