Zyxel GS1900-patch faalt: zero-day-exploit maakt uitvoering van root-commando’s mogelijk

Zyxel GS1900-netwerkswitches die de eerdere patch van de leverancier voor een actief uitgebuite kwetsbaarheid hadden ontvangen, zijn volgens onderzoekers van Binarly nog steeds kwetsbaar voor de exploit die aanvallers gebruikten.

De exploit laat iedereen die de webbeheerinterface van een switch kan bereiken commando’s op die switch uitvoeren zonder in te loggen. Zyxel heeft nieuwe firmware uitgebracht voor 10 GS1900‑modellen die het lek dichtzet.

De eerdere fix is firmware 2.90 Patch 2, genoemd in een advies van 16 juni voor een kwetsbaarheid die is geregistreerd als CVE-2026-7273. De nieuwe 2.90 Patch 3-firmware repareert een kwetsbaarheid die nu apart wordt getrackt als CVE-2026-107441, waarop de exploit vertrouwt. Die build werd op 23 oktober geplaatst en de leverancier kondigde deze eerder deze week in een advies aan.

De onderzoekers, die de kwetsbaarheid op 29 september aan de leverancier meldden, noemen het een zero-day. Aanvallers hadden tegen die tijd al een werkende exploit.

GreyNoise, dat aanvalstraffic monitort via een netwerk van sensoren, rapporteerde op 21 september dat aanvallers rond 17 augustus gegevens van 996 GS1900-switches hebben gehaald. Het koppelde de aanvallen aan CVE-2026-7273, en de onderzoekers zeggen dat de door GreyNoise beschreven exploit overeenkomt met degene die zij vonden.

Noch GreyNoise noch Binarly zegt dat de aangevallen switches de eerdere fix draaiden, en het advies van de leverancier vermeldt niet of de nieuwe kwetsbaarheid al daadwerkelijk is uitgebuit.

Welke switches hebben de nieuwe firmware nodig

Zyxel’s beveiligingsadvies vermeldt de getroffen en opgeloste firmware voor elk model:

Switches met Patch 2 of elke eerdere firmwareversie hebben de Patch 3-build voor hun model nodig. De builds zijn geplaatst met hun firmware-release-opmerkingen.

Het advies vermeldt geen workaround voor eigenaars die nog niet kunnen updaten. Het zegt ook niet of een update toegang die een aanvaller al had verwijdert, of wat eigenaren moeten controleren als een switch mogelijk is gecompromitteerd.

Het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) voegde CVE-2026-7273 op 21 september toe aan zijn Known Exploited Vulnerabilities (KEV)-catalogus en gaf federale instanties tot 24 september om de fix van de leverancier (Patch 2) toe te passen. De vermelding kwam op de dag dat de eerdere aanvallen openbaar werden gemaakt.

Het kwetsbaarheidsadvies van de onderzoekers zegt dat de nieuwe kwetsbaarheid aanwezig is in alle tien die Patch 2-builds. Het vermeldt ook dat “een aanvaller alleen netwerkbereikbaarheid tot de managementservice nodig heeft”, terwijl het advies van de leverancier spreekt van een “LAN-gebaseerde, niet-geauthenticeerde aanvaller”.

De onderzoekers beoordelen de kwetsbaarheid met 9,8 uit 10 op de CVSS-ernst-schaal, tegenover 8,8 in de CVE-vermelding van de leverancier, en zeggen dat de commando’s van de aanvaller met root‑rechten worden uitgevoerd.

Waarom de eerdere fix de exploit niet stopte

De technische analyse van Binarly brengt de fout terug naar het programma dat webverzoeken op de switch verwerkt. Het is een schrijfbewerking buiten de toegewezen geheugenruimte, wat betekent dat het programma gegevens schrijft voorbij het geheugen dat daarvoor gereserveerd is.

Het programma slaat elke requestparameter op in een vaste ruimte die 140 parameters kan bevatten. Het controleerde nooit de grootte van een parameter, en vóór Patch 2 controleerde het ook nooit hoeveel parameters het had opgeslagen.

De exploit stuurt een 140e parameter die te groot is, waardoor deze het einde van die ruimte overschrijdt en de parameter-teller van het programma overschrijft. De volgende parameter wordt dan buiten de ruimte geschreven, waardoor de aanvaller de functie kan vervangen die het programma op het punt staat aan te roepen door een functie die het commando van de aanvaller uitvoert.

Patch 2 voegde een controle op de teller toe, maar die controle wordt pas uitgevoerd nadat de te grote parameter is gekopieerd. Tegen die tijd bevat de teller de waarde van de aanvaller, dus de controle stopt de schrijfoperatie niet. De onderzoekers zeggen dat de exploit zonder aanpassingen tegen Patch 2 werkt.

Ze testten de exploit op geëmuleerde firmware en op echte hardware, hoewel ze niet zeggen welk model. De lijst van ondersteunde firmware bij de exploit zelf bevat de Patch 2-build voor de GS1900-24.

Volgens de onderzoekers vertelde Zyxel hen dat CVE-2026-7273 over de ontbrekende tellercorrectie ging, en dat het de ontbrekende groottecontrole beschouwt als een afzonderlijke fout, nu geregistreerd als CVE-2026-107441.

In de Patch 3-code wordt de teller gecontroleerd voordat een parameter wordt gekopieerd, en is de kopie beperkt in grootte. De onderzoekers zeggen dat dit de kwetsbaarheid verhelpt.

Wat bekend is over de aanvallen

Het aanvalrapport van GreyNoise zegt dat de aanvallers de exploit gebruikten om een script voor het verzamelen van gegevens op de switches te downloaden en de verzamelde data te laten ophalen. De data omvatte switchconfiguraties, gehashte root‑referenties en netwerkinformatie. Van de 996 switches gebruikte 564 nog steeds fabrieks‑standaard wachtwoorden.

Het rapport vermeldt niet welke firmware de switches draaiden of hoe de aanvallers ze bereikten. Het zegt dat de aanvallers hetzelfde zijn als, of verwant aan, een groep die Acronis bijhoudt als Red Heron en omschrijft als Chineessprekend. Acronis koppelde een backdoor genaamd JITTERLY eerder aan Red Heron in een campagne die Gitea-servers targette.

De onderzoekers vonden de exploit op 17 september in een open map op een server die ook als commandoserver voor JITTERLY fungeerde.

Hun advies biedt twee verklaringen. Ofwel was de Patch 2-update een gebrekkige fix voor CVE-2026-7273, ofwel hebben de aanvallen een andere kwetsbaarheid misbruikt dan degene die CISA had vermeld.

De onderzoekers zeggen dat ze binnenkort een kleinere versie van de exploit als proof of concept zullen publiceren. De KEV-catalogusgegevens van CISA, die gisteren voor het laatst zijn bijgewerkt, vermelden CVE-2026-107441 nog niet.