Zyxel修复了被利用的零日漏洞，该漏洞已导致近1000台网络交换机遭到入侵

原创

ZM
ZM

暗镜

2026年11月6日 07:00
北京

去阅读

Zyxel于 11 月 3 日发布了安全公告.其已修复其 GS1900 系列网络交换机中的一个零日漏洞，该漏洞曾被黑客利用，导致全球近 1000 台设备遭到入侵，配置文件和凭据被窃取，该漏洞影响十款 GS1900 交换机型号，该漏洞编号为 CVE-2026-107441，是交换机 Web 管理界面中的一个越界写入漏洞，允许未经身份验证的攻击者通过网络访问，利用精心构造的 HTTP 请求执行操作系统命令。

网络安全公司 GreyNoise 发现一个名为 Kapibala 的威胁行为者利用 Zyxel 交换机进行攻击，并报告称攻击者入侵了 48 个国家的 996 台设备。

威胁行为者利用该漏洞远程执行命令，然后下载一个脚本，该脚本会收集设备配置、哈希 root 凭据和网络信息。

GreyNoise 将 Kapibala 与 Red Heron 黑客活动联系起来，Acronis 此前报道称，该活动利用了自托管 Git 服务 Gitea 中的一个严重漏洞。

GreyNoise 于 9 月 21 日披露了此次攻击活动，并将攻击原因归咎于 CVE-2026-7273，Zyxel 已于 6 月份修复了该漏洞。

同一天，CISA 将 CVE-2026-7273 添加到其已知已利用漏洞目录中，要求联邦机构解决该漏洞。

然而，固件安全公司Binarly 的研究人员发现，这些攻击中使用的漏洞实际上针对的是一个此前未知的、尚未修复的漏洞。

在调查与 JITTERLY 后门和 SIXZUT rootkit 相关的 Red Heron 基础设施时，Binarly 的研究人员发现了一个暴露的存档，其中包含一个针对 Zyxel GS1900 交换机的混淆 Python 漏洞利用程序。

研究人员分析了该漏洞利用程序后发现，它专门检查了针对 CVE-2026-7273 进行修补的固件版本，这表明该漏洞利用程序是专门针对这些版本开发或更新的。

Binarly 于 9 月 28 日确认，该漏洞对所有已修复 CVE-2026-7273 的十个固件版本仍然有效。

研究人员发现，早期的安全更新增加了防止缓冲区溢出的检查，但攻击者可以通过在参数计数器验证之前对其进行破坏来绕过这些检查。

这使得该漏洞能够覆盖内存并在未经身份验证的情况下执行命令，即使是在运行早期安全更新的交换机上也是如此。

Binarly 于 9 月 29 日向 Zyxel 报告了其发现，该供应商于 10 月 11 日确认了这一新漏洞，并将其分配为 CVE-2026-107441。

Zyxel 将其归类为单独的缺陷，因为该漏洞利用程序还利用了 HTTP 参数长度验证缺失的问题。

10 月 22 日，Zyxel 发布了新的固件更新，限制了参数大小，并在将数据复制到内存之前验证参数数量，从而防止了这种利用技术。

虽然已恢复的漏洞利用程序专门针对已针对 CVE-2026-7273 进行修补的固件，但目前尚不清楚它是故意开发来绕过这些更新，还是利用了早期补丁未能解决的相关漏洞。

建议受影响的 Zyxel GS1900 交换机的管理员安装最新的固件更新，以防止 CVE-2026-107441 漏洞。