Производителят на мрежово оборудване Zyxel публикува спешни обновления за уязвимост от нулев ден в популярната серия комутатори GS1900, след като нападатели компрометираха близо 1000 устройства в 48 държави. Проблемът засяга пряко малките и средни предприятия в България, тъй като тези устройства често управляват базовия трафик в офисните мрежи. Липсата на навременни мерки позволява пълен контрол върху оборудването и изтичане на вътрешна информация.
Какво се случи: хронология на атаките и разкриването
По данни на компанията за сигурност GreyNoise около 17 август е засечена активна кампания за компрометиране на комутатори Zyxel GS1900. Атаките се приписват на предполагаемо китайскоезична група, обозначена като Kapibala. Нападателите са овладели 996 устройства в 48 държави, като са използвали пробива за дистанционно изпълнение на команди. Чрез свален скрипт те са извличали конфигурационни файлове, хеширани пароли за администраторския root потребител и мрежова информация.
GreyNoise свързва действията на Kapibala с кампанията Red Heron, за която по-рано Acronis съобщи във връзка с критична уязвимост в платформата Gitea. Инфраструктурата на атакуващите е асоциирана и със зловредните инструменти JITTERLY и SIXZUT.
Първоначално проблемът беше погрешно идентифициран. На 16 юни 2026 г. Zyxel пусна обновления за дефекта CVE-2026-7273, представляващ препълване на буфера (buffer overflow) в същите комутатори. Когато GreyNoise съобщи за кампанията на 21 септември, инцидентът беше приписан на този вече коригиран дефект, а Американската агенция за киберсигурност и инфраструктурна сигурност (CISA) го добави в списъка с известни експлоатирани уязвимости (KEV).
Анализ на експертите от компанията за сигурност на фърмуера Binarly доказа, че нападателите всъщност са експлоатирали напълно нов дефект от нулев ден, който заобикаля юнските пачове.
Технически детайли: как е заобиколена защитата
При изследване на инфраструктура на Red Heron анализаторите от Binarly откриват архив със замъглен Python скрипт за атака срещу Zyxel GS1900. Кодът целенасочено проверява дали комутаторът работи с фърмуер, коригиран срещу CVE-2026-7273. На 28 септември изследователите потвърждават, че експлойтът остава ефективен срещу всичките 10 обновени версии на фърмуера.
Анализът установява, че юнските пачове са въвели проверки срещу препълване на буфера, но нападателите са намерили начин да ги неутрализират. Чрез повреждане на брояча на параметрите преди неговата проверка, зловредният код осъществява запис извън допустимите граници в паметта (out-of-bounds write) в уеб интерфейса за управление. Това позволява неоторизирано изпълнение на команди в операционната система (OS commands) чрез специално оформени HTTP заявки през мрежата.
След сигнал от Binarly на 29 септември, Zyxel потвърди уязвимостта на 11 октомври и я заведе като CVE-2026-107441, посочвайки като съпътстващ проблем и липсата на валидация за дължината на HTTP параметрите. На 22 октомври производителят издаде нов фърмуер, а на 3 ноември публикува бюлетин за сигурност.
Кого засяга проблемът и защо рискът е реален
Уязвимостта засяга 10 модела от серията Zyxel GS1900. Тъй като комутаторите са ключов компонент от базовата инфраструктура, компрометирането им създава директни опасности:
- Кражба на конфигурации: извличането на мрежови файлове разкрива топологията, виртуалните мрежи и правилата за достъп.
- Достъп до администраторски профили: свалянето на хеширани идентификационни данни за root акаунта позволява пълен контрол върху самото устройство.
- Плацдарм за вътрешни атаки: след като овладеят комутатора, атакуващите могат да наблюдават мрежовия трафик и да атакуват други сървъри и работни станции.
Какво да направите сега: препоръчителни стъпки
Новите издания на фърмуера от 22 октомври ограничават размера на параметрите и проверяват техния брой преди запис в паметта. Администраторите трябва да предприемат следните стъпки:
Приложете официалните актуализации за съответния модел GS1900, за да затворите уязвимостта CVE-2026-107441.
Интерфейсът за управление не трябва да бъде достъпен от публичния интернет. Изолирайте го в отделен административен сегмент или зад VPN (виртуална частна мрежа).
Тъй като атаките извличат хешове на root акаунтите, сменете паролите на всички комутатори след инсталирането на новия фърмуер.
Прегледайте мрежовите логове за съмнителни HTTP заявки или непознат изходящ трафик от комутаторите.
Изводи за сигурността на корпоративните мрежи
Случаят с комутаторите Zyxel GS1900 показва, че дори редовно обновяваното оборудване може да остане уязвимо при поява на нови техники за заобикаляне на защитите. Защитата на мрежовия периметър изисква комбиниран подход, включващ изолация на административните интерфейси и постоянен мониторинг. Екипът на Defend.bg може да съдейства на фирмите за одит на мрежовата инфраструктура и сигурно прилагане на обновленията за фърмуера.
