Binarly : le correctif Zyxel GS1900 laisse une voie d'attaque ouverte

Les administrateurs de dix modèles de commutateurs Zyxel GS1900 doivent installer une deuxième mise à jour du micrologiciel, après que Binarly a découvert que le correctif de sécurité précédent permet toujours un exploit utilisé par des attaquants, selon The Hacker News. Le correctif de remplacement, 2.90 Patch 3, corrige une vulnérabilité qui permet à un attaquant d'atteindre le service de gestion web du commutateur et d'exécuter des commandes sans authentification.

La découverte touche les commutateurs qui exécutent la version 2.90 Patch 2, ainsi que ceux qui utilisent des micrologiciels plus anciens. Le Patch 2 était le correctif identifié dans l'avis de Zyxel du 16 juin pour CVE-2026-7273. La vulnérabilité restante porte un identifiant distinct, CVE-2026-107441 ; Zyxel a mis à disposition le Patch 3 le 23 octobre et l'a annoncé dans un avis publié plus tôt cette semaine.

Zyxel décrit l'attaquant comme étant sur le réseau local et non authentifié. Binarly indique qu'un accès au service de gestion via le réseau suffit, et que l'exploitation réussie donne à l'attaquant l'exécution de commandes avec les droits root. Les chercheurs attribuent un score de gravité CVSS de 9,8 sur 10, alors que la fiche CVE de Zyxel lui attribue 8,8.

Un exploit déjà entre les mains des attaquants

Les éléments reliant la vulnérabilité à des attaques sont antérieurs à la notification de Binarly à Zyxel, le 29 septembre. Les chercheurs ont découvert l'exploit le 17 septembre, dans un dossier accessible librement sur un serveur également utilisé pour piloter la porte dérobée JITTERLY. Ils qualifient la vulnérabilité de zero-day parce que les attaquants possédaient déjà un exploit fonctionnel.

GreyNoise, qui observe le trafic d'attaque à l'aide de capteurs, a annoncé le 21 septembre que des attaquants avaient exfiltré des données de 996 commutateurs GS1900 vers le 17 août. Elle a identifié CVE-2026-7273 comme la vulnérabilité en cause. Binarly indique que la description de GreyNoise correspond à l'exploit qu'elle a récupéré, bien que les versions du micrologiciel des commutateurs attaqués, ainsi que la manière dont les attaquants y ont accédé, ne soient pas précisées.

L'opération a utilisé l'exploit pour déposer un script de collecte sur les commutateurs, puis a préparé les informations recueillies afin de les récupérer. Ces informations comprenaient les configurations, les hachages des identifiants root et les détails réseau. Des identifiants par défaut d'usine étaient encore utilisés sur 564 des 996 appareils.

GreyNoise a estimé que les attaquants étaient soit le groupe que suit Acronis sous le nom de Red Heron, soit un groupe qui lui est associé. Acronis décrit Red Heron comme un groupe de langue chinoise, et l'avait précédemment relié à JITTERLY dans une campagne visant des serveurs Gitea.

Deux contrôles manquants, deux identifiants de vulnérabilité

L'analyse de Binarly porte sur le logiciel du commutateur qui traite les requêtes web. Son espace de stockage des paramètres peut contenir 140 entrées, mais la longueur de chaque paramètre n'était pas vérifiée. Avant le Patch 2, le logiciel ne vérifiait pas non plus le nombre de paramètres stockés.

L'exploit transforme ces omissions en une suite d'écritures en mémoire. Un paramètre surdimensionné en position 140 déborde de son espace de stockage et modifie le compteur utilisé pour suivre les paramètres. Ce compteur étant sous le contrôle de l'attaquant, le paramètre suivant est écrit en dehors de la zone mémoire prévue. L'attaquant peut alors rediriger un appel de fonction à venir pour exécuter une commande.

Le Patch 2 a introduit une vérification du compteur trop tard dans cette séquence : l'opération de copie avait déjà permis au paramètre surdimensionné de corrompre le compteur. La vérification ultérieure portait donc sur une valeur fournie par l'attaquant. Binarly indique que l'exploit récupéré n'a eu besoin d'aucune modification pour fonctionner contre le Patch 2.

Les chercheurs ont validé l'exploit à la fois sur un micrologiciel émulé et sur du matériel physique, sans identifier le modèle de ce matériel. La liste des micrologiciels pris en charge par l'exploit inclut explicitement le Patch 2 pour le GS1900-24, tandis que l'avis de Binarly identifie les dix builds Patch 2 répertoriées comme vulnérables.

Binarly indique que Zyxel a expliqué les deux identifiants CVE en distinguant la vérification manquante du compteur, couverte par CVE-2026-7273, de la vérification manquante de la longueur, désormais CVE-2026-107441. Les chercheurs avancent en conséquence deux interprétations : soit la vulnérabilité initiale a reçu un correctif insuffisant, soit les attaques ont exploité une vulnérabilité différente de celle que la CISA a répertoriée.

Le Patch 3 place la vérification du compteur avant l'opération de copie et limite la quantité de données pouvant être copiées. Binarly affirme que cela corrige la faille et prévoit de publier un exploit de preuve de concept plus compact.

Le micrologiciel de remplacement

The Hacker News rapporte les versions concernées et corrigées, propres à chaque modèle, figurant dans l'avis de Zyxel :

La CISA a ajouté CVE-2026-7273 à son catalogue des vulnérabilités exploitées connues le 21 septembre, jour où GreyNoise a rendu publiques les attaques. Son délai de remédiation, fixé au 24 septembre, s'appliquait aux agences fédérales civiles américaines concernées. Le Patch 2 était le correctif du fournisseur identifié à ce moment-là.

La fiche du catalogue exige l'application des mesures d'atténuation indiquées par le fournisseur au titre de la directive BOD 26-04, ainsi que le respect des exigences de tri forensique de la CISA. Elle demande aussi d'évaluer l'exposition à Internet de chaque actif, de suivre les recommandations applicables aux services cloud, ou d'arrêter l'utilisation de l'équipement si aucune mesure d'atténuation n'est disponible. Le tri forensique est marqué « Oui », et l'utilisation dans une campagne de ransomware est marquée « Inconnue ». Le catalogue du 4 novembre ne répertorie pas CVE-2026-107441.

The Hacker News indique que l'avis de Zyxel ne propose ni contournement ni instructions pour vérifier une éventuelle compromission, et qu'il ne précise pas si la mise à jour supprime un accès existant de l'attaquant. Les administrateurs dont l'équipement exécute une build concernée doivent installer la version Patch 3 exacte de leur modèle, disponible avec les notes de version du micrologiciel de Zyxel.