文章总结： 本文报道ZyxelGS1900交换机栈溢出漏洞CVE-2026-7273与VeeamAgent提权漏洞CVE-2026-32996正遭在野利用，CISA已列入KEV目录。攻击者可远程接管交换机或提权至SYSTEM权限，勒索团伙借此缩短攻击链路。建议立即升级固件补丁、限制管理端口暴露、收紧Veeam目录ACL权限并监控异常管道访问。 综合评分： 85 文章分类： 漏洞预警,漏洞分析,应急响应,安全运营,安全工具

【安全圈】Zyxel与Veeam高危漏洞遭野外在途利用：防火墙注入与备份控制权沦陷

安全圈

2026年9月22日 19:00 江苏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

关键词

漏洞

核心导读：近日，美国网络安全和基础设施安全局（CISA）正式将 Zyxel GS1900 系列网络交换机栈缓冲区溢出漏洞（CVE-2026-7273） 列入已知被利用漏洞目录（KEV），确认其正遭到在途黑客利用；与此同时，网络安全机构 Arctic Wolf 发布紧急警报，企业级备份基础设施 Veeam Agent for Windows 本地提权漏洞（CVE-2026-32996） 亦被黑客团伙结合野外武器化 PoC 滥用，从普通日志泄露直通 SYSTEM 最高权限。网络硬件与核心备份的双重沦陷，使得勒索软件具备了极具破坏性的打击支点。

01 / Zyxel 交换机栈溢出（CVE-2026-7273）：CGI 边界被破

Zyxel（合勤科技）GS1900 系列智能网管交换机广泛部署于中小型企业和分支机构的核心接入层。中国科学院软件研究所（ISCAS）安全研究团队披露，该系列交换机固件内置的 Web CGI 接口程序存在栈缓冲区溢出缺陷。

📋 Zyxel 核心漏洞情报档案

漏洞编号CVE-2026-7273

严重程度CVSS 8.8 HIGH

漏洞类型栈缓冲区溢出致操作系统任意命令执行 (Buffer Overflow to RCE)

攻击向量无需认证，直接向管理 Web 接口发送恶意构造的 HTTP 请求

合规督办CISA 要求美国联邦机构（FCEB）于 2026年9月24日前强制修补

受影响的设备型号包含 GS1900-8、8HP、10HP、16、24、24E、24EP、24HPv2、48 及 48HPv2 的 2.90(AAxx.1)C0 及更早版本。攻击者只要处在可触达交换机 Web 管理端口的网络拓扑中，便可远程接管硬件底层 Linux 操作系统，将交换机转化为内网监听与流量劫持的持久化据点。

02 / Veeam 备份提权（CVE-2026-32996）：从命名管道直通 SYSTEM

如果说交换机失陷打破了网络隔离，那么备份系统的失陷则是勒索团伙彻底击溃企业容灾防线的杀手锏。Arctic Wolf 监控显示，针对 Veeam Agent for Microsoft Windows 的 CVE-2026-32996（CVSS 7.3） 提权利用已广泛扩散。

该漏洞源于 Veeam 端点备份服务（Veeam Endpoint Backup service）在处理本地 gRPC 命名管道通信时的安全盲区：

提权漏洞链路：弱权限日志与未绑定的会话缓存

// 1. 命名管道路径

\.\pipe\Veeam\VAW\ServiceConnectionPipe

// 2. 敏感信息明文泄露：普通低权限用户均可读取的日志文件

C:\ProgramData\Veeam\Endpoint\Svc.VeeamEndpointBackup.log

// 3. 武器化效果

读取日志提取 UID，向命名管道重放请求，以 SYSTEM 运行任意命令

由于 GitHub 上已有成熟的公开 PoC（可通过提取日志 UID 运行 whoami 并写入任意文件），黑客团伙在获取低权限终端（如钓鱼木马落盘）后，可数秒内无感提升至 Windows 最顶层的 NT AUTHORITY\SYSTEM 权限，随后停止或篡改备份任务，加密原始数据库。

03 / 威胁图景：网络通道失守与勒索定点清除

将这两起在途漏洞置于真实的攻防对抗场景中，勒索攻击组织（如 Akira、LockBit 衍生团伙）典型的入侵链路已被极大缩短：

1. 边界突破与横向穿透：利用 Zyxel 交换机 RCE 漏洞突破边界，进入内部网段并建立静默代理，绕过基于 IP 的常规访问控制。

2. 核心端点权限爆发：在内网 Windows 服务器中执行 Veeam 提权脚本，瞬间拿下集中备份机与存储控制节点。

3. 勒索致命一击：先通过 SYSTEM 特权彻底销毁 Volume Shadow Copy（VSS 卷影副本）和历史增量备份，再下发文件加密，剥夺企业任何免费恢复数据的可能。

04 / 应急排查与处置修复矩阵

各机构基础设施管理员请依照以下清单即刻执行升级与安全收口：

🛡️ 1. Zyxel GS1900 系列固件升级

全面下载并刷写 2.90(AAxx.2)C0 补丁版本（例如 GS1900-8 升级至 2.90(AAHH.2)C0，GS1900-24 升级至 2.90(AAHL.2)C0 等）。严格限制交换机 Web 管理后台只能通过独立的带外管理网络（OOBM）或隔离 VLAN 访问，切勿将 HTTP/HTTPS 端口暴露于办公 LAN 或公网。

🔒 2. Veeam Agent for Windows 紧急更新与权限收缩

更新 Veeam 客户端至官方已修复的最新热补丁版本。在未能立刻更新的主机上，手动检查 C:\ProgramData\Veeam\Endpoint\ 目录的 NTFS 访问控制列表（ACL），移除 Users 组的“读取”权限，仅保留 SYSTEM 和 Administrators 组访问权限，直接斩断 PoC 凭据提取路径。

🔍 3. 关键日志回溯与告警部署

核查网络设备近期是否有异常 HTTP POST 崩溃记录与重启日志；在 Windows 端监控非备份服务进程对 ServiceConnectionPipe 命名管道的句柄申请行为，防范内网潜伏横向。

END

阅读推荐

【安全圈】朝鲜黑客渗透IT服务商：伪造Terraform锁文件结合Cursor打入macOS

【安全圈】无弹窗静默RCE！OpenAI Codex 沙箱双重逃逸曝光：借助 V8 堆内存泄露与补丁越权突破宿主

【安全圈】C2写进智能合约！ChainScript木马借Polygon公链不死轮换

【安全圈】用 Claude 偷家 OpenAI？白帽两跳击穿员工账号，直通私有代码库

安全圈

←扫码关注我们

网罗圈内热点 专注网络安全

实时资讯一手掌握！

好看你就分享 有用就点个赞

支持「安全圈」就点个三连吧！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全圈 《【安全圈】Zyxel与Veeam高危漏洞遭野外在途利用：防火墙注入与备份控制权沦陷》