Investigadores de la firma de seguridad Binarly han descubierto que los switches de red Zyxel GS1900 que recibieron el parche anterior del fabricante para una vulnerabilidad explotada activamente siguen siendo vulnerables al exploit que los atacantes utilizaron. Este exploit permite a cualquier persona que pueda alcanzar la interfaz de gestión web del switch ejecutar comandos en él sin necesidad de autenticarse. Zyxel ha publicado nuevo firmware para 10 modelos GS1900 que corrige el fallo.
El parche anterior es el firmware 2.90 Patch 2, mencionado en un aviso del 16 de junio para una vulnerabilidad identificada como CVE-2026-7273. El nuevo firmware 2.90 Patch 3 corrige un fallo ahora registrado por separado como CVE-2026-107441, del que depende el exploit. Fue publicado el 23 de octubre y el fabricante lo anunció en un aviso a principios de esta semana.
Los investigadores, que informaron del fallo al fabricante el 29 de septiembre, lo califican como zero-day. Para entonces, los atacantes ya disponían de un exploit funcional. GreyNoise, que monitoriza el tráfico de ataques mediante una red de sensores, informó el 21 de septiembre de que los atacantes extrajeron datos de 996 switches GS1900 alrededor del 17 de agosto. La empresa vinculó los ataques con CVE-2026-7273, y los investigadores afirman que el exploit descrito coincide con el que ellos encontraron. Ni GreyNoise ni Binarly indican si los switches atacados ejecutaban el parche anterior, y el aviso del fabricante no aclara si el nuevo fallo ha sido explotado.
Qué switches necesitan el nuevo firmware
El aviso de seguridad de Zyxel enumera el firmware afectado y corregido para cada modelo. Los switches que ejecutan el Patch 2 o cualquier firmware anterior necesitan la versión Patch 3 para su modelo. Las compilaciones se publican junto con las notas de la versión del firmware. El aviso no ofrece ningún workaround para los propietarios que no puedan actualizar todavía. Tampoco indica si la actualización elimina el acceso que un atacante pueda haber obtenido ya, ni qué deben comprobar los propietarios si un switch puede haber sido comprometido.
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA) añadió CVE-2026-7273 a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 21 de septiembre y dio a las agencias federales hasta el 24 de septiembre para aplicar el parche del fabricante, el firmware Patch 2. La inclusión se produjo el mismo día en que se hicieron públicos los ataques anteriores.
El aviso de vulnerabilidad de los investigadores señala que el nuevo fallo está presente en las 10 compilaciones del Patch 2. También afirma que "un atacante solo necesita alcanzar el servicio de gestión a través de la red", mientras que el aviso del fabricante describe un "atacante no autenticado basado en LAN". Los investigadores califican el fallo con 9,8 sobre 10 en la escala de severidad CVSS, frente a 8,8 en la entrada CVE del fabricante, y señalan que los comandos del atacante se ejecutan con privilegios de root.
Por qué el parche anterior no detuvo el exploit
El análisis técnico de Binarly atribuye el fallo al programa que gestiona las solicitudes web en el switch. Se trata de una escritura fuera de límites, es decir, el programa escribe datos más allá de la memoria asignada. El programa almacena cada parámetro de la solicitud en un área fija con capacidad para 140 parámetros. Nunca comprobaba el tamaño de un parámetro y, antes del Patch 2, tampoco verificaba cuántos parámetros había almacenado.
El exploit envía un parámetro número 140 demasiado grande, lo que provoca un desbordamiento del área y sobrescribe el contador de parámetros del programa. El siguiente parámetro se escribe fuera del área, lo que permite al atacante sustituir la función que el programa está a punto de llamar por otra que ejecuta su comando. El Patch 2 añadió una comprobación del contador, pero la verificación se ejecuta solo después de que se haya copiado el parámetro sobredimensionado. Para entonces, el contador contiene el valor del atacante, por lo que la comprobación no impide la escritura. Los investigadores afirman que el exploit funciona contra el Patch 2 sin modificaciones.
Lo probaron en firmware emulado y en hardware real, aunque no especifican qué modelo. La lista de firmware compatible del propio exploit incluye la compilación Patch 2 para el GS1900-24. Según los investigadores, Zyxel les dijo que CVE-2026-7273 se refería a la falta de comprobación del contador y que considera la falta de comprobación del tamaño como un fallo separado, ahora CVE-2026-107441. En el código del Patch 3, el contador se comprueba antes de copiar un parámetro y la copia está limitada en tamaño. Los investigadores afirman que esto corrige el fallo.
Lo que se sabe sobre los ataques
El informe de ataques de GreyNoise indica que los atacantes utilizaron el exploit para descargar un script de recopilación de datos en los switches y dejaron los datos recopilados para su recogida. Los datos incluían configuraciones de los switches, credenciales de root con hash e información de red. De los 996 switches, 564 seguían usando credenciales predeterminadas de fábrica. El informe no especifica qué firmware ejecutaban los switches ni cómo llegaron a ellos los atacantes. Señala que los atacantes son los mismos o están relacionados con un grupo que Acronis rastrea como Red Heron y describe como de habla china. Acronis vinculó un backdoor llamado JITTERLY con Red Heron en una campaña anterior dirigida a servidores Gitea.
Los investigadores encontraron el exploit el 17 de septiembre en una carpeta abierta en un servidor que también actuaba como servidor de mando para JITTERLY. Su aviso ofrece dos explicaciones: o la actualización Patch 2 fue una corrección defectuosa para CVE-2026-7273, o los ataques explotaron un fallo diferente del que CISA incluyó en su catálogo. Los investigadores anuncian que publicarán pronto una versión reducida del exploit como prueba de concepto. Los datos del catálogo KEV de CISA, actualizados por última vez ayer, no incluyen CVE-2026-107441.
Deja una respuesta