Łatka nie zadziałała: hakerzy przejmują przełączniki Zyxel GS1900. Jest nowa poprawka
Dziesięć wersji oprogramowania sprzedawanych jako załatane nadal miało lukę. Atakujący mogą bez logowania wykonywać polecenia jako root. Trafiono już 996 przełączników w 48 krajach.
Jeśli w firmie masz przełączniki sieciowe Zyxel GS1900, zaktualizuj je, nawet jeśli robiłeś to w czerwcu. Badacze z firmy Binarly odkryli, że poprawka nie usunęła problemu, a Zyxel potwierdził nową lukę: CVE-2026-107441. Pozwala ona bez logowania wykonywać polecenia z najwyższymi uprawnieniami (root). Luka jest wykorzystywana w atakach.
Ocena krytyczności nie jest jednoznaczna: Zyxel podaje 8,8, a według doniesień mediów luka ma krytyczne 9,8.
Jak doszło do wpadki?
- 16 czerwca: Zyxel publikuje poprawkę luki CVE-2026-7273.
- Wrzesień: GreyNoise informuje o prawdziwych atakach, a 21 września CISA wpisuje tę lukę na listę aktywnie wykorzystywanych.
- 28 września: Binarly sprawdza wszystkie 10 „załatanych” wersji oprogramowania. Każda jest nadal podatna.
- 11 października: Zyxel potwierdza nowy błąd.
- 22 października: Zyxel wydaje poprawkę.
- 3 listopada: Zyxel publikuje komunikat.
Błąd tkwi w programie dispatcher.cgi odpowiedzialnym za panel WWW urządzenia. Dane z żądania są kopiowane do pamięci, zanim program sprawdzi ich liczbę. Poprzednia poprawka dodała wprawdzie kontrolę, ale wykonywaną dopiero po niebezpiecznym kopiowaniu. Do ataku wystarczy zwykłe połączenie HTTP z sieci, z której widać przełącznik.
Co robią atakujący?
GreyNoise opisuje napastnika, który około 17 sierpnia zaatakował 996 przełączników w 48 krajach, najwięcej we Włoszech, w USA i na Tajwanie. 564 z nich nadal miały fabryczne dane logowania. Atakujący wykradał ustawienia, skróty haseł roota i informacje o sieci. GreyNoise wiąże go z kampanią „Red Heron”, opisaną przez firmę Acronis, w której używano tylnej furtki JITTERLY i rootkita SIXZUT, ukrywającego pliki i procesy.
Co zrobić?
- Zaktualizuj wszystkie GS1900 do wersji z 22 października lub nowszej. Wcześniejsza „załatana” wersja nie wystarcza.
- Odetnij panel zarządzania od internetu i udostępnij go tylko z zaufanej sieci administracyjnej.
- Natychmiast zmień hasła domyślne.
- Sprawdź urządzenia: nietypowa aktywność administratora, zmienione ustawienia i dziwne żądania WWW.
- Przełącznik był widoczny z internetu? Traktuj go jak potencjalnie przejęty i zmień hasła, bo atakujący wykradali ich skróty.
Ta sprawa to też dobra lekcja: „załatane” nie zawsze znaczy „bezpieczne”. Urządzenia sieciowe warto trzymać z dala od internetu, nawet gdy mają najnowsze oprogramowanie.