Binarly: el parche de Zyxel GS1900 deja abierta una vía de ataque

Los administradores de 10 modelos de switch Zyxel GS1900 necesitan una segunda actualización de firmware, porque Binarly ha descubierto que el parche de seguridad anterior sigue permitiendo un exploit usado por atacantes, según informó The Hacker News. La nueva versión, 2.90 Patch 3, corrige una vulnerabilidad que permite a un atacante acceder al servicio de gestión web del switch y ejecutar comandos sin autenticarse.

El problema afecta a los switches con 2.90 Patch 2 y también a firmwares anteriores. El Patch 2 era la solución indicada en el aviso de Zyxel del 16 de junio para CVE-2026-7273. La vulnerabilidad que sigue presente tiene un identificador distinto, CVE-2026-107441. Zyxel puso a disposición el Patch 3 el 23 de octubre y lo anunció en un aviso publicado esta semana.

Zyxel describe al atacante como alguien que opera desde la LAN y sin autenticación. Binarly afirma que basta con tener acceso al servicio de gestión a través de la red y que una explotación exitosa da al atacante ejecución de comandos como root. Los investigadores asignan una puntuación de gravedad CVSS de 9,8 sobre 10, mientras que la entrada de Zyxel en el CVE le asigna 8,8.

Un exploit ya en manos de los atacantes

Las pruebas que relacionan la vulnerabilidad con ataques son anteriores a la notificación de Binarly a Zyxel del 29 de septiembre. Los investigadores encontraron el exploit el 17 de septiembre, en una carpeta de acceso abierto de un servidor que también se usaba para controlar la puerta trasera JITTERLY. Describen la vulnerabilidad como un día cero porque los atacantes ya disponían de un exploit funcional.

GreyNoise, que observa el tráfico de ataques mediante sensores, reveló el 21 de septiembre que los atacantes habían extraído datos de 996 switches GS1900 alrededor del 17 de agosto. Identificó CVE-2026-7273 como la vulnerabilidad implicada. Binarly afirma que la descripción de GreyNoise coincide con el exploit que recuperó, aunque no se especifican las versiones de firmware de los switches atacados ni cómo llegaron los atacantes hasta ellos.

La operación usó el exploit para colocar un script de recopilación en los switches y después preparó la información reunida para su recuperación. Esa información incluía configuraciones, hashes de credenciales root y datos de red. Las credenciales de fábrica seguían en uso en 564 de los 996 dispositivos.

GreyNoise evaluó que los atacantes eran el grupo que Acronis sigue como Red Heron o que estaban asociados con él. Acronis describe a Red Heron como un grupo de habla china y lo relacionó anteriormente con JITTERLY en una campaña contra servidores Gitea.

Dos comprobaciones ausentes, dos identificadores de vulnerabilidad

El análisis de Binarly se centra en el software del switch que procesa las solicitudes web. Su almacenamiento de parámetros tiene capacidad para 140 entradas, pero no se comprobaba la longitud de cada parámetro. Antes del Patch 2, el software tampoco verificaba el número de parámetros almacenados.

El exploit convierte esas omisiones en una secuencia de escrituras en memoria. Un parámetro de tamaño excesivo en la posición 140 desborda su almacenamiento y modifica el contador que se usa para registrar los parámetros. Con ese contador bajo control del atacante, el parámetro siguiente se escribe fuera del área de memoria prevista. Después, el atacante puede redirigir una llamada a función posterior para ejecutar un comando.

El Patch 2 introdujo la comprobación del contador demasiado tarde en esa secuencia: la operación de copia ya había permitido que el parámetro de tamaño excesivo corrompiera el contador. Por tanto, la comprobación posterior examinaba un valor proporcionado por el atacante. Binarly afirma que el exploit recuperado no necesitó modificaciones para funcionar contra el Patch 2.

Los investigadores validaron el exploit con firmware emulado y con hardware físico, sin identificar el modelo del equipo. La lista de firmware compatible del exploit incluye explícitamente el Patch 2 para el GS1900-24, mientras que el aviso de Binarly identifica las 10 versiones enumeradas del Patch 2 como vulnerables.

Binarly afirma que Zyxel explicó los dos identificadores CVE distinguiendo la comprobación del contador que falta, cubierta por CVE-2026-7273, de la comprobación de longitud que falta, ahora CVE-2026-107441. En consecuencia, los investigadores ofrecen dos interpretaciones: la vulnerabilidad original recibió una corrección inadecuada, o los ataques utilizaron una vulnerabilidad distinta de la que CISA catalogó.

El Patch 3 traslada la validación del contador antes de la operación de copia y limita la cantidad de datos que se pueden copiar. Binarly afirma que esto resuelve el fallo y que planea publicar un exploit de prueba de concepto más pequeño.

El firmware de reemplazo

The Hacker News recoge, según el aviso de Zyxel, las versiones afectadas y corregidas por modelo:

La CISA incluyó CVE-2026-7273 en su catálogo de vulnerabilidades explotadas conocidas el 21 de septiembre, el día en que GreyNoise dio a conocer los ataques. Su plazo de remediación, el 24 de septiembre, se aplicaba a las agencias civiles federales de EE. UU. incluidas en el ámbito. En ese momento, el Patch 2 era la corrección del fabricante identificada.

La entrada del catálogo exige una mitigación indicada por el fabricante conforme a la BOD 26-04 y el cumplimiento de los requisitos de triaje forense de la CISA. También pide evaluar la exposición a internet de cada activo, seguir la guía aplicable para servicios en la nube o dejar de usar el activo si no hay mitigaciones disponibles. El triaje forense aparece marcado como “Sí”; el uso en campañas de ransomware, como “Desconocido”. El catálogo del 4 de noviembre no incluye CVE-2026-107441.

The Hacker News informa de que el aviso de Zyxel no ofrece solución alternativa ni instrucciones para comprobar un posible compromiso, y no establece si la actualización elimina el acceso existente de un atacante. Los administradores con cualquier compilación afectada deben instalar la versión Patch 3 exacta de su modelo, disponible junto con las notas de la versión de firmware de Zyxel.