El ataque a switches Zyxel usaba un fallo desconocido

Los ataques que comprometieron casi mil switches Zyxel de la serie GS1900 no aprovechaban un fallo ya parcheado. Usaban uno desconocido hasta ahora, un zero-day, según la empresa de ciberseguridad Binarly, que recoge SecurityWeek. Quien actualizó pensando que estaba a salvo no lo estaba.

Qué fallo es y a quién afecta

La vulnerabilidad se identifica como CVE-2026-107441 y tiene una puntuación CVSS de 8,8. Es una escritura fuera de límites en el programa CGI del firmware de los GS1900. Según Zyxel, un atacante sin autenticar puede aprovecharla con peticiones HTTP manipuladas para ejecutar órdenes del sistema operativo en el switch.

Afecta a 10 modelos de la serie GS1900. La fuente no los enumera ni indica qué versión de firmware corrige el problema. Zyxel publicó las correcciones el 23 de octubre y el aviso de seguridad el 3 de noviembre.

La pista equivocada

El 21 de septiembre, GreyNoise atribuyó los ataques, ocurridos en agosto, a otro fallo, el CVE-2026-7273, que Zyxel había parcheado en junio. Los vinculó a Red Heron, un grupo chino al que Acronis ya había sorprendido atacando instancias de Gitea. La CISA estadounidense añadió ese fallo a su catálogo de vulnerabilidades explotadas.

Binarly sostiene ahora que los atacantes desplegaban variantes de los programas maliciosos Jitterly y Sixzut, pero con un exploit dirigido a otra vulnerabilidad. «Como el atacante explotaba una vulnerabilidad distinta, y el parche del CVE-2026-7273 resultaba ineficaz, no sirvió para proteger los dispositivos», explica la empresa. Binarly avisó a Zyxel el 29 de septiembre y el fabricante confirmó el fallo dos semanas después.

La compañía concluye que los avisos y los números de versión «ayudan, pero no se puede confiar en ellos a ciegas».

Qué hacer

• Instalar cuanto antes el firmware publicado por Zyxel para los GS1900 afectados, comprobando en su aviso qué modelos y versiones cubre.
• Mientras tanto, y como medida de prudencia aunque la fuente no detalla mitigaciones, no dejar la interfaz web de gestión expuesta a internet: el ataque llega por peticiones HTTP.
• Revisar los equipos que estuvieron accesibles desde fuera, porque los ataques se produjeron antes de que existiera parche.

Queda por saber qué modelos concretos están afectados y cómo detectar si un switch ya ha sido comprometido.

Fuente: SecurityWeek