Patch parziale Zyxel: 996 switch GS1900 compromessi da nuova CVE-2026-107441

Zyxel ha corretto CVE-2026-107441, una vulnerabilità zero-day che bypassava la patch di giugno per CVE-2026-7273. Circa 996 switch GS1900 in 48 paesi erano già compromessi con esfiltrazione di dati.

Zyxel ha pubblicato il 3 novembre 2026 un advisory che corregge un'attribuzione tecnica errata: gli attacchi a switch GS1900 inizialmente imputati a CVE-2026-7273 — patchata a giugno — erano in realtà causati da una nuova vulnerabilità, CVE-2026-107441, che bypassava il precedente fix. Circa 996 dispositivi in 48 paesi erano già compromessi, con dati esfiltrati a partire dal 17 agosto 2026. CISA aveva aggiunto CVE-2026-7273 al catalogo KEV il 21 settembre con scadenza patch fissata al 24 settembre, un ordine che si rivelava basato su un'identificazione sbagliata.

Punti chiave

CVE-2026-107441 è una zero-day out-of-bounds write nel programma CGI dei firmware Zyxel GS1900, con CVSS 8.8: consente esecuzione di comandi OS da remoto senza autenticazione.
La patch per CVE-2026-7273 (giugno 2026) era efficace per la vulnerabilità originale, ma non per la nuova CVE-2026-107441: il check del contatore parametri HTTP veniva eseguito dopo la copia del parametro, permettendo a un parametro oversize di sovrascrivere il contatore stesso.
996 switch in 48 paesi sono stati compromessi; 564 usavano ancora credenziali di default di fabbrica.
I dati rubati includevano configurazioni switch, hash di credenziali e informazioni di rete; l'exploit è attribuito a un attore cinese-speaking tracciato come Red Heron.
CVE-2026-107441 non risulta nel catalogo KEV di CISA al momento delle fonti; i 10 modelli affetti sono GS1900-8, GS1900-8HP, GS1900-10HP, GS1900-16, GS1900-24, GS1900-24E, GS1900-24EP, GS1900-24HPv2, GS1900-48, GS1900-48HPv2.

Il meccanismo del bypass: quando il check arriva troppo tardi

Il programma CGI nei firmware Zyxel GS1900 alloca un'area fissa per 140 parametri HTTP. La vulnerabilità originale, CVE-2026-7273, sfruttava la mancanza di un controllo sul numero di parametri. La patch di giugno — denominata Patch 2 — aggiungeva un check sul contatore, ma con un errore architetturale: il controllo veniva eseguito dopo la copia del parametro nell'area allocata.

Come documenta l'analisi tecnica di Binarly riportata da The Hacker News, un parametro 140 oversize sovrascriveva il contatore stesso con il valore scelto dall'attaccante. Il parametro successivo veniva quindi scritto fuori dall'area prevista, permettendo lo swap di un puntatore a funzione e l'esecuzione di comandi arbitrari. Binarly ha riportato che "the attacker's commands run with root privileges"; Zyxel descrive la stessa condizione come "achieve OS command execution". L'exploit funzionava senza modifiche su tutte e 10 le versioni firmware con Patch 2.

"Patch 2 added a check on the counter, but the check runs only after the oversized parameter has been copied. By then the counter holds the attacker's value, so the check does not stop the write." — Analisi tecnica Binarly, The Hacker News

La timeline che smonta l'attribuzione errata

La scoperta segue una traiettoria precisa. Il 17 settembre 2026 i ricercatori di Binarly hanno trovato l'exploit in una cartella aperta su un server C2 collegato al gruppo Red Heron, tracciato anche con il malware JITTERLY. Il 28 settembre Binarly ha confermato l'efficacia dell'exploit su tutti i 10 firmware Patch 2. La notifica a Zyxel è avvenuta il 29 settembre; il vendor ha confermato la nuova vulnerabilità l'11 ottobre, assegnato CVE-2026-107441, e rilasciato il firmware corretto il 22 ottobre.

L'advisory ufficiale è datato 3 novembre 2026. Contestualmente, emerge che CISA aveva aggiunto CVE-2026-7273 al catalogo KEV il 21 settembre con scadenza patch fissata al 24 settembre. CVE-2026-107441 non risulta elencato nel catalogo KEV al momento delle fonti.

Analisi: i limiti della verifica per versione dichiarata

I ricercatori di Binarly, citati da SecurityWeek, hanno formulato una critica al modello di verifica dominante: "Cases such as this highlight the urgency for a more reliable way of checking vulnerabilities in software. Advisories and version numbers certainly help, but they cannot be blindly trusted." La dichiarazione individua un limite strutturale: le organizzazioni che avevano aggiornato al firmware .2C0 si consideravano protette sulla base di un'informazione dichiarativa.

Binarly ha descritto l'analisi del codice binario come "more reliable way" rispetto alla sola verifica di versione. La fonte non specifica se strumenti di vulnerability management basati su inventario avrebbero potuto rilevare il bypass, né afferma che la verifica binaria avrebbe rivelato "immediatamente" l'inefficacia. Questi giudizi operativi non sono presenti nelle fonti originali.

La discrepanza tra il CVSS 8.8 ufficiale (vector: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) e la valutazione 9.8 di Binarly riflette probabilmente diverso assessment del vettore di attacco: il record ufficiale indica accesso dalla rete adiacente (AV:A), mentre Binarly potrebbe aver valutato accesso da rete non specificata (AV:N). Le fonti non risolvono esplicitamente questa discrepanza.

Cosa fare adesso

Aggiornare immediatamente a firmware .3C0 tutti gli switch Zyxel GS1900, indipendentemente dal fatto che fossero già stati patchati a giugno per CVE-2026-7273: la precedente patch proteggeva dalla vulnerabilità originale, ma non dalla nuova CVE-2026-107441.
Verificare tramite log di rete se il firmware .2C0 fosse in esecuzione tra il 17 agosto e il 22 ottobre 2026: questo è l'intervallo in cui l'esfiltrazione è documentata.
Rivisionare le credenziali di management e le configurazioni esposte sui 564 dispositivi identificati con password di default: i dati rubati includevano hash di credenziali.
Valutare l'esposizione dell'interfaccia di management: Zyxel descrive l'attacco come "LAN-based", ma i ricercatori hanno rilevato switch con interfaccia raggiungibile da posizioni esterne alla rete locale.

La lezione: una sola fonte primaria per l'analisi tecnica

Il caso Zyxel documenta un limite metodologico rilevante per il settore. L'analisi tecnica del meccanismo di bypass proviene esclusivamente da Binarly; altre fonti — SecurityWeek, BleepingComputer, CSO Online — ripetono i dati numerici e la timeline, ma non verificano indipendentemente il funzionamento dell'exploit. Il testo non deve quindi implicare convergenza di fonti indipendenti sull'analisi tecnica.

L'organizzazione che aveva rispettato la timeline CISA per CVE-2026-7273 si è trovata ugualmente compromessa, con un ritardo di scoperta che ha permesso mesi di esfiltrazione. La patch per la CVE originale era parzialmente efficace, ma non per la nuova vulnerabilità: questa distinzione è centrale per comprendere l'incidente senza cadere in overclaim sul fallimento completo del processo di patch.

Per il vulnerability management, l'incidente indica che le advisory testuali e i numeri di versione hanno un limite strutturale. La verifica del codice binario offre, secondo Binarly, un approccio "more reliable" — non una sostituzione completa del sistema attuale, ma un complemento che avrebbe potuto ridurre l'intervallo di esposizione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter