内网交换机出现未登录命令执行，Zyxel 用户要在 9 月 24 日前答完三问

原创

tcode
tcode

字节脉搏实验室

2026年9月22日 12:20
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一台接在内网里的 Zyxel GS1900 交换机，可能在没有账号密码的情况下被同一网络中的攻击者触发缓冲区溢出；漏洞还可能进一步走到系统命令执行。CISA 已于 2026 年 9 月 21 日把 CVE-2026-7273 列入 Known Exploited Vulnerabilities 目录，并给美国联邦机构设定了 9 月 24 日的处置期限。对国内用户而言，这个期限不是普遍适用的法律要求，但它是一个明确的风险排序信号：不要再等“我们这里有没有被打过”的确定性答案。

公开事实需要分清两句话。Zyxel 的 CVE 记录确认，GS1900 系列 CGI 程序存在栈缓冲区溢出，攻击者从局域网侧发起、无需认证，构造 HTTP 请求后“可能”执行系统命令；这不是“公网任意人可直接接管交换机”。CISA 把漏洞加入 KEV，说明已有在野利用证据，但目录没有公开每一起攻击的目标、载荷和是否成功执行命令。可以据此提高优先级，不能把可能性写成已确认的普遍后果。

真正需要今天回答的不是“CVSS 8.8 高不高”，而是三问：资产里有没有、攻击者够不够得着、设备上有没有留下痕迹。

第一问：型号和固件有没有落进范围

受影响产品不是整个 Zyxel 产品线，而是 GS1900 系列中的多款型号：GS1900-48HPv2、GS1900-8、GS1900-8HP、GS1900-10HP、GS1900-16、GS1900-24、GS1900-24E、GS1900-24EP、GS1900-24HPv2 和 GS1900-48。Zyxel 的 CVE 记录把受影响版本写成各型号的 2.90 系列及以下，具体固件编号不同，例如 GS1900-48HPv2 为 2.90(ABTQ.1)C0 及以下，GS1900-8 为 2.90(AAHH.1)C0 及以下。

这意味着只查一个总版本号不够。资产表至少要同时记录产品名、硬件型号、完整固件字符串、设备位置和责任人。很多团队能查到采购型号，却把固件字段留空；而这次真正决定风险的是“型号 + 固件”组合。管理平台自动发现的设备也要回到采购、维保和网络拓扑中核对，避免离线库存里漏掉分支、门店或弱电间设备。

修复应使用 Zyxel 官方公告给出的对应版本。CISA 要求的动作是依据厂商说明应用缓解措施，并在无法处理时评估停用；它不是让所有人盲目下载一个“通用最新版”。如果设备已经停止支持、无法升级或固件来源不能核验，应转成替换或隔离计划，不能把一张网络 ACL 当作永久补丁。

第二问：谁能从网络里碰到管理面

漏洞是相邻网络利用，不代表风险自动很低。攻击者可能在访客 Wi-Fi、办公 VLAN、分支机构、VPN 后的受控终端，甚至由一台被拿下的打印机或摄像头出发。只要该位置能访问交换机的 Web/CGI 管理面，就可能构成“无需登录”的起跳条件。

先画一张访问矩阵，而不是只看交换机有没有公网 IP。矩阵的行是用户、访客、IoT、服务器、运维跳板和第三方 VPN，列是每台 GS1900 的管理地址、Web 服务端口和网管协议。逐格判断能否到达，比一句“管理网已隔离”更可信。管理地址、交换机 VLAN 和运维入口同时暴露给办公终端时，应该列为高风险差异。

这张矩阵应由网络和安全团队共同签字，而不是由设备台账所有者单独填写；只有网络团队才能证明实际可达路径，也只有安全团队能判断路径是否构成可利用攻击面。

边界控制要做到默认拒绝。管理面只允许专用运维网段和跳板机访问，访客、无线终端、服务器区和第三方网络不能横向到达；交换机管理地址不要与办公 DHCP 池混放，也不要把“能 ping 通”当成无害。若厂商提供关闭或限制 Web 管理的选项，应按照公告和现有运维流程执行，同时保留可回退路径，避免远程改配置后失去管理权。

第三问：设备日志能证明发生过什么

补丁和隔离解决未来风险，取证解决已经发生的风险。第一类证据是异常重启、进程崩溃和运行时间归零；如果同一时间段出现未知配置变更、管理员账号新增或转发规则变化，需要提高事件等级。第二类证据是发往 CGI 路径的异常 HTTP 请求、异常来源地址和访问频率，能集中采集时不要只依赖设备本地短周期日志。

第三类证据在网络侧。查看交换机管理地址的进出连接、配置备份任务和控制平面流量是否出现陌生源地址。不要只封一个来源 IP 就结束，因为相邻网络中的跳板地址可能轮换；要从访问矩阵反查它是从哪个终端、VLAN 或 VPN 会话到达的。

如果企业没有可靠的交换机日志，最诚实的结论是“无法排除”，而不是“没发现”。上线前应把管理面日志转发到独立日志平台，校验时间同步，并确认重启、配置变更和登录事件至少保留六个月。CISA 的取证分流字段已标为需要关注，这说明 KEV 收录后只做升级、不保留证据，会丢掉判断影响范围的窗口。

三问清单怎么直接执行

第一问的通过标准是：完整型号与固件已落到 CMDB，受影响设备有唯一责任人和修复日期。第二问的通过标准是：管理面从非运维主体不可达，例外有审批、到期时间和补偿控制。第三问的通过标准是：能看到补丁前后的重启、配置、登录和网络连接证据，且日志不依赖设备本地保存。

三项里任何一项为“不知道”，都应该先做证据保全和边界收敛，再安排维护窗口升级。若第二问暂时无法关闭访问，应把设备视为高优先级隔离对象；若第三问无法取证，应检查上游防火墙、VPN、认证系统和网络流量日志，从网络边侧重建时间线。

这起漏洞最容易被低估的地方，是“只在局域网”常被误读成“内部都是可信的”。同网段可达本身就是攻击面，未认证则是把最后的门槛也拿掉。今天最实际的交付物不是一篇公告摘要，而是一张能回答型号、路径和证据的三问表；9 月 24 日只是 CISA 的联邦处置节点，自己的资产清单和隔离时间应该根据暴露情况更早确定。

热点来源

来源：MITRE CVE 记录（Zyxel CNA）：CVE-2026-7273，2026-06-16 发布、2026-09-21 更新，https://cveawg.mitre.org/api/cve/CVE-2026-7273

来源：CISA Known Exploited Vulnerabilities：2026-09-21 加入，处置期限 2026-09-24，https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field\_cve=CVE-2026-7273

来 源：Zyxel 官方公告：2026-06-16，https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-stack-based-buffer-overflow-vulnerability-in-gs1900-series-switches-06-16-2026