La última actualización de firmware de Zyxel para los GS1900 corrige una vulnerabilidad que, según los investigadores, seguía siendo explotable después de una corrección de seguridad anterior. El caso muestra por qué instalar un parche y cerrar una vía de ataque no siempre son lo mismo.
Un administrador de red instala una actualización de seguridad y confirma que un switch ejecuta el firmware corregido del fabricante.
La vulnerabilidad ya debería estar corregida. Pero ¿qué pasa si la técnica de ataque sigue funcionando?
Esa pregunta cobró relevancia para los switches Zyxel GS1900 después de que unos investigadores analizaran ataques contra dispositivos que ya habían recibido atención antes, en 2026.
El 3 de noviembre, Zyxel publicó un aviso de seguridad sobre CVE-2026-107441, una vulnerabilidad de escritura fuera de límites que afecta a diez modelos de switch GS1900.
Según Zyxel, un atacante no autenticado con acceso por LAN a la interfaz de administración podría llegar a ejecutar comandos del sistema operativo mediante una solicitud HTTP manipulada.
La empresa ya había publicado en junio otra corrección de seguridad, distinta, para la misma familia de switches.
Lo significativo no es que todos los parches sean poco fiables. Es que una corrección anterior no impidió la técnica de ataque que los investigadores examinaron después.
Dos vulnerabilidades, dos correcciones de firmware
La secuencia importa porque la investigación original y el aviso más reciente se refieren a identificadores CVE distintos.
| Fecha | Hecho verificado |
|---|---|
| 16 de junio de 2026 | Zyxel publicó su aviso sobre CVE-2026-7273, un desbordamiento de búfer en la pila, e identificó Patch 2 como el firmware correctivo |
| En torno al 17 de agosto de 2026 | La cronología de GreyNoise registra explotación y robo de datos contra switches GS1900 |
| 21 de septiembre de 2026 | GreyNoise publicó su informe sobre la campaña y CISA añadió CVE-2026-7273 a su catálogo Known Exploited Vulnerabilities, según la cronología de Binarly |
| Septiembre de 2026 | Los investigadores analizaron el exploit y la eficacia de la corrección anterior |
| 23 de octubre de 2026 | Zyxel publicó la nota de lanzamiento del firmware GS1900 Patch 3 |
| 3 de noviembre de 2026 | Zyxel publicó su aviso sobre CVE-2026-107441 |
El aviso de junio se refería a CVE-2026-7273. El aviso de noviembre identifica una debilidad distinta, de escritura fuera de límites, en el programa CGI de los switches, que procesa las solicitudes dirigidas a la interfaz web de administración.
Zyxel reconoce a los investigadores de Binarly Yegor Vasilenko y Fernando Mercês por haber notificado el problema más reciente.
La empresa identifica la versión 2.90 Patch 3, con identificadores de firmware específicos para cada modelo, como la versión correctiva de CVE-2026-107441.
La nota de lanzamiento del 23 de octubre y el aviso de seguridad del 3 de noviembre son eventos distintos. El anuncio del firmware precedió al aviso público formal sobre la vulnerabilidad.
Junio
El 16 de junio de 2026, Zyxel publicó su aviso sobre CVE-2026-7273, un desbordamiento de búfer en la pila, e identificó Patch 2 como el firmware correctivo.
Explotación
En torno al 17 de agosto, la cronología de GreyNoise registra explotación y robo de datos contra switches GS1900. GreyNoise asoció inicialmente la explotación con CVE-2026-7273.
Según investigadores
La investigación de Binarly informa de que la técnica de ataque siguió siendo eficaz contra firmware que incluía la corrección anterior de Patch 2. El comportamiento detallado del exploit es un hallazgo de los investigadores, no una conclusión establecida de forma independiente por TechiesJournal.
Patch 3
Zyxel identifica la versión 2.90 Patch 3, con identificadores de firmware específicos para cada modelo, como la versión correctiva de CVE-2026-107441, una debilidad de escritura fuera de límites en el programa CGI de los switches.
Dos hechos
La nota de lanzamiento del 23 de octubre y el aviso de seguridad del 3 de noviembre son eventos distintos. El anuncio del firmware precedió al aviso público formal sobre la vulnerabilidad.
Fuentes: aviso de junio de Zyxel, lanzamiento del firmware Patch 3 y aviso de noviembre.
¿Por qué la corrección anterior no detuvo el ataque?
Una escritura fuera de límites se produce cuando un software escribe datos más allá del área de memoria destinada a contenerlos.
Una debilidad así puede corromper la memoria adyacente. Según el programa y las condiciones de ejecución, esa corrupción puede permitir a un atacante cambiar el comportamiento del programa.
En el caso de los GS1900, el componente afectado gestiona los parámetros de las solicitudes HTTP enviadas a la interfaz de administración del switch.
La investigación de Binarly informa de que la técnica de ataque siguió siendo eficaz contra firmware que incluía la corrección anterior de Patch 2.
Los investigadores describen una validación insuficiente durante el procesamiento de los parámetros de la solicitud, que permite corromper la memoria antes de que la comprobación de protección anterior pueda impedir el ataque.
La vulnerabilidad resultante se identifica como CVE-2026-107441.
Binarly informa de que Zyxel considera el nuevo problema distinto de CVE-2026-7273. Según Binarly, Zyxel afirmó que la vulnerabilidad anterior se refería a la falta de una comprobación sobre un contador de parámetros, aunque su descripción pública hablaba de un desbordamiento de pila, y trata el informe más reciente como distinto porque también implica la ausencia de una comprobación del tamaño de los parámetros.
El aviso público de Zyxel confirma la escritura fuera de límites y la posible ejecución de comandos. Su nota de lanzamiento de Patch 3 confirma una corrección para la nueva vulnerabilidad.
La evaluación de Binarly sobre el alcance del ataque es más amplia que la condición de LAN de Zyxel. Califica la vulnerabilidad con 9.8 según CVSS v3.1 con un vector de ataque de red, frente al 8.8 que Zyxel asignó a la vulnerabilidad de junio, porque la explotación usa HTTP corriente y solo requiere que el servicio de administración sea accesible por red.
El comportamiento detallado del exploit es un hallazgo de los investigadores, no una conclusión establecida de forma independiente por TechiesJournal.
Esta distinción importa porque una corrección puede resolver una condición concreta de seguridad de memoria sin eliminar una vía relacionada por la que un atacante puede causar daños similares.
Una instalación de firmware satisfactoria establece qué versión de software se está ejecutando. Por sí sola no demuestra que se haya eliminado cada técnica de ataque observada anteriormente.
Investigación: Binarly, New Zyxel GS1900 pre-auth RCE vulnerability revealed y aviso de vulnerabilidad de Binarly BRLY-2026-057.
¿Qué se ha confirmado sobre los ataques?
GreyNoise documentó una campaña que afectó a dispositivos Zyxel GS1900 e informó de que los atacantes extrajeron datos sensibles de 996 switches en 48 países.
La actividad incluyó el robo de configuraciones de los dispositivos, credenciales de nivel root en forma de hash e información de red. GreyNoise también informó de que 564 de las víctimas tenían las credenciales predeterminadas de fábrica.
GreyNoise asoció inicialmente la explotación con CVE-2026-7273. Posteriormente, Binarly informó de que la técnica de ataque explotaba la debilidad distinta corregida como CVE-2026-107441.
CISA añadió CVE-2026-7273 a su catálogo Known Exploited Vulnerabilities el 21 de septiembre. Binarly sostiene que, como el actor explotaba una vulnerabilidad diferente y el parche anterior seguía siendo ineficaz, la recomendación resultante de actualizar no protegió los dispositivos frente a este actor. El aviso de Binarly añade que, si el exploit ataca una vulnerabilidad diferente, la asociación que hace CISA de la actividad con CVE-2026-7273 sería incorrecta.
Las evidencias disponibles sobre la campaña no establecen la versión de firmware instalada en cada dispositivo comprometido.
Por tanto, sería inexacto afirmar que los 996 switches se vieron comprometidos después de haberse instalado Patch 2.
La conclusión respaldada es más limitada: hubo explotación documentada de dispositivos GS1900, y posteriormente los investigadores identificaron una vía de ataque que la actualización anterior no bloqueaba.
Registrado
GreyNoise documentó una campaña que afectó a dispositivos Zyxel GS1900 e informó de que los atacantes extrajeron datos sensibles de 996 switches en 48 países.
Qué se robó
La actividad incluyó el robo de configuraciones de los dispositivos, credenciales de nivel root en forma de hash e información de red.
Claves de fábrica
GreyNoise también informó de que 564 de las víctimas tenían las credenciales predeterminadas de fábrica.
No establecido
Las evidencias disponibles sobre la campaña no establecen la versión de firmware instalada en cada dispositivo comprometido. Por tanto, sería inexacto afirmar que los 996 switches se vieron comprometidos después de haberse instalado Patch 2.
La conclusión respaldada es más limitada: hubo explotación documentada de dispositivos GS1900, y posteriormente los investigadores identificaron una vía de ataque que la actualización anterior no bloqueaba.
Fuentes: GreyNoise, Open Season on Kapibala, entrada del catálogo Known Exploited Vulnerabilities de CISA para CVE-2026-7273 y la cronología y el aviso de Binarly citados arriba.
¿Qué switches necesitan Patch 3?
El aviso de noviembre de Zyxel identifica diez modelos GS1900 afectados.
| Modelo afectado | Firmware correctivo |
|---|---|
| GS1900-8 | 2.90(AAHH.3)C0 |
| GS1900-8HP | 2.90(AAHI.3)C0 |
| GS1900-10HP | 2.90(AAZI.3)C0 |
| GS1900-16 | 2.90(AAHJ.3)C0 |
| GS1900-24 | 2.90(AAHL.3)C0 |
| GS1900-24E | 2.90(AAHK.3)C0 |
| GS1900-24EP | 2.90(ABTO.3)C0 |
| GS1900-24HPv2 | 2.90(ABTP.3)C0 |
| GS1900-48 | 2.90(AAHN.3)C0 |
| GS1900-48HPv2 | 2.90(ABTQ.3)C0 |
Para estos modelos, Zyxel indica como afectado el firmware `2.90(… .2)C0` correspondiente y las versiones anteriores.
Los administradores deben cotejar el modelo exacto del dispositivo y la versión instalada con el aviso del fabricante. Los distintos modelos usan identificadores de firmware diferentes.
Fuente: Zyxel, Security advisory for CVE-2026-107441.
¿Qué deben hacer los administradores?
Las organizaciones que operan switches GS1900 deben identificar los dispositivos afectados, comparar el firmware instalado con el aviso de noviembre y desplegar la versión Patch 3 correspondiente.
El acceso a la interfaz de administración debe limitarse a redes y sistemas administrativos autorizados. Según la evaluación de Binarly, la pregunta relevante es si el servicio de administración es accesible desde cualquier red no confiable, no solo si un atacante se encuentra en la LAN. La restricción puede reducir la exposición cuando un switch no se puede actualizar de inmediato, pero no sustituye a la aplicación del firmware correctivo.
Las organizaciones con evidencias o sospechas razonables de una vulneración también deben investigar las configuraciones de los dispositivos, el acceso de administración y las credenciales.
Una actualización corrige el fallo de software identificado. No establece automáticamente que un dispositivo nunca se haya visto comprometido ni que un atacante no haya dejado cambios.
Por tanto, las comprobaciones deben reflejar si el dispositivo era simplemente vulnerable o si es posible que ya haya sido explotado. El hallazgo de GreyNoise de que 564 de las víctimas tenían las credenciales predeterminadas de fábrica recuerda que la higiene de credenciales forma parte de la misma remediación.
Lo que este incidente enseña sobre la remediación
El caso de Zyxel ilustra una distinción que los equipos de seguridad deben preservar.
Un inventario de firmware puede confirmar que un dispositivo ejecuta la actualización prescrita. El análisis de seguridad puede establecer si el comportamiento observado del exploit sigue siendo posible. La investigación del incidente puede determinar si el dispositivo se vio comprometido antes de la remediación.
Son actividades relacionadas, pero responden a preguntas diferentes.
Inventario
Un inventario de firmware puede confirmar que un dispositivo ejecuta la actualización prescrita.
Análisis
El análisis de seguridad puede establecer si el comportamiento observado del exploit sigue siendo posible.
Investigación
La investigación del incidente puede determinar si el dispositivo se vio comprometido antes de la remediación.
Preguntas distintas
Son actividades relacionadas, pero responden a preguntas diferentes. La lección práctica es tratar la instalación del parche como un paso esencial de la remediación, no como una prueba automática de que se han resuelto todas las vías de ataque y consecuencias asociadas.
La lección práctica es tratar la instalación del parche como un paso esencial de la remediación, no como una prueba automática de que se han resuelto todas las vías de ataque y consecuencias asociadas.
Referencias y lecturas adicionales
- Zyxel, Security advisory for CVE-2026-107441. 3 de noviembre de 2026.
- Zyxel, Security advisory for CVE-2026-7273. 16 de junio de 2026.
- Zyxel, GS1900 Series Patch 3 Firmware Release. 23 de octubre de 2026.
- Binarly, New Zyxel GS1900 pre-auth RCE vulnerability revealed. Noviembre de 2026.
- Binarly, Vulnerability Advisory BRLY-2026-057. Noviembre de 2026.
- GreyNoise, Open Season on Kapibala. 21 de septiembre de 2026.
- CISA, Known Exploited Vulnerabilities catalog, entrada de CVE-2026-7273. 21 de septiembre de 2026.
Fecha de corte de las evidencias: 5 de noviembre de 2026. Los materiales primarios de Zyxel, GreyNoise y Binarly, incluidos el análisis completo de Binarly y el aviso BRLY-2026-057, se leyeron directamente y se compararon con este artículo. La mecánica del exploit sigue atribuida a Binarly y TechiesJournal no la reprodujo.