La dernière mise à jour du firmware des Zyxel GS1900 corrige une vulnérabilité qui, selon des chercheurs, restait exploitable après un précédent correctif de sécurité. Ce cas montre pourquoi installer un correctif et fermer un chemin d’attaque ne reviennent pas toujours au même.
Un administrateur réseau installe une mise à jour de sécurité et vérifie qu’un commutateur exécute bien le firmware corrigé du fabricant.
La vulnérabilité devrait désormais être corrigée. Mais que se passe-t-il si la technique d’attaque fonctionne toujours ?
Cette question s’est posée pour les commutateurs Zyxel GS1900 après que des chercheurs ont étudié des attaques contre des appareils qui avaient déjà attiré l’attention plus tôt en 2026.
Le 3 novembre, Zyxel a publié un avis de sécurité pour CVE-2026-107441, une vulnérabilité d’écriture hors limites qui touche dix modèles de commutateurs GS1900.
Selon Zyxel, un attaquant non authentifié disposant d’un accès LAN à l’interface d’administration pourrait potentiellement exécuter des commandes du système d’exploitation au moyen d’une requête HTTP spécialement conçue.
L’entreprise avait déjà publié un autre correctif de sécurité pour la même famille de commutateurs en juin.
L’enjeu n’est pas que tous les correctifs soient peu fiables. C’est qu’une correction antérieure n’a pas empêché la technique d’attaque examinée ensuite par les chercheurs.
Deux vulnérabilités, deux correctifs de firmware
La chronologie compte, car l’enquête initiale et l’avis plus récent concernent des identifiants CVE distincts.
| Date | Fait vérifié |
|---|---|
| 16 juin 2026 | Zyxel a publié son avis de sécurité pour CVE-2026-7273, un dépassement de tampon sur la pile, en désignant Patch 2 comme firmware correctif |
| Vers le 17 août 2026 | La chronologie de GreyNoise fait état d’une exploitation et d’un vol de données visant des commutateurs GS1900 |
| 21 septembre 2026 | GreyNoise a publié son rapport sur la campagne, et la CISA a ajouté CVE-2026-7273 à son catalogue Known Exploited Vulnerabilities, selon la chronologie de Binarly |
| Septembre 2026 | Des chercheurs ont étudié l’exploit et l’efficacité du correctif antérieur |
| 23 octobre 2026 | Zyxel a publié l’annonce de disponibilité du firmware Patch 3 pour les GS1900 |
| 3 novembre 2026 | Zyxel a publié son avis de sécurité pour CVE-2026-107441 |
L’avis de juin concernait CVE-2026-7273. L’avis de novembre décrit une faiblesse distincte, une écriture hors limites dans le programme CGI des commutateurs, qui traite les requêtes adressées à l’interface d’administration web.
Zyxel remercie les chercheurs de Binarly Yegor Vasilenko et Fernando Mercês d’avoir signalé le nouveau problème.
L’entreprise désigne la version 2.90 Patch 3, avec des identifiants de firmware propres à chaque modèle, comme version corrective pour CVE-2026-107441.
L’annonce de disponibilité du 23 octobre et l’avis de sécurité du 3 novembre sont deux événements différents. L’annonce du firmware a précédé l’avis public officiel sur la vulnérabilité.
En juin
Le 16 juin 2026, Zyxel a publié son avis de sécurité pour CVE-2026-7273, un dépassement de tampon sur la pile, en désignant Patch 2 comme firmware correctif.
Exploitation
Vers le 17 août, la chronologie de GreyNoise fait état d’une exploitation et d’un vol de données visant des commutateurs GS1900. GreyNoise a d’abord associé l’exploitation à CVE-2026-7273.
Selon les chercheurs
L’enquête de Binarly indique que la technique d’attaque restait efficace contre un firmware intégrant la correction antérieure Patch 2. Le comportement détaillé de l’exploit est un constat des chercheurs, et non une conclusion établie de manière indépendante par TechiesJournal.
Patch 3
Zyxel désigne la version 2.90 Patch 3, avec des identifiants de firmware propres à chaque modèle, comme version corrective pour CVE-2026-107441, une faiblesse d’écriture hors limites dans le programme CGI des commutateurs.
Deux dates
L’annonce de disponibilité du 23 octobre et l’avis de sécurité du 3 novembre sont deux événements différents. L’annonce du firmware a précédé l’avis public officiel sur la vulnérabilité.
Sources : avis de juin de Zyxel, annonce du firmware Patch 3 et avis de novembre.
Pourquoi le correctif antérieur n’a-t-il pas arrêté l’attaque ?
Une écriture hors limites se produit lorsqu’un logiciel écrit des données au-delà de la zone mémoire prévue pour les contenir.
Une telle faiblesse peut corrompre la mémoire voisine. Selon le programme et les conditions d’exécution, cette corruption peut permettre à un attaquant de modifier le comportement du programme.
Dans le cas des GS1900, le composant concerné traite les paramètres des requêtes HTTP envoyées à l’interface d’administration du commutateur.
L’enquête de Binarly indique que la technique d’attaque restait efficace contre un firmware intégrant la correction antérieure Patch 2.
Les chercheurs décrivent une validation insuffisante lors du traitement des paramètres de requête, qui permet une corruption de la mémoire avant que la vérification de protection antérieure ne puisse empêcher l’attaque.
La vulnérabilité qui en résulte est suivie sous l’identifiant CVE-2026-107441.
Binarly indique que Zyxel considère le nouveau problème comme distinct de CVE-2026-7273. Selon Binarly, Zyxel a déclaré que la vulnérabilité antérieure portait sur l’absence de vérification d’un compteur de paramètres, bien que sa description publique mentionne un dépassement de pile, et traite le nouveau signalement comme distinct parce qu’il implique aussi l’absence de vérification de la taille d’un paramètre.
L’avis public de Zyxel confirme l’écriture hors limites et la possible exécution de commandes. Son annonce de disponibilité de Patch 3 confirme la correction de la nouvelle vulnérabilité.
L’évaluation de Binarly sur la portée de l’attaque est plus large que la condition d’accès LAN posée par Zyxel. Binarly attribue à la vulnérabilité un score de 9,8 selon CVSS v3.1, avec un vecteur d’attaque réseau, contre le score de 8,8 que Zyxel avait attribué à la vulnérabilité de juin, car l’exploitation passe par du HTTP ordinaire et ne requiert que l’accessibilité réseau du service d’administration.
Le comportement détaillé de l’exploit est un constat des chercheurs, et non une conclusion établie de manière indépendante par TechiesJournal.
Cette distinction compte, car un correctif peut traiter une condition de sécurité mémoire identifiée sans éliminer un chemin voisin par lequel un attaquant peut causer des dommages similaires.
Une installation de firmware réussie établit quelle version logicielle est en cours d’exécution. Elle ne démontre pas à elle seule que chaque technique d’attaque observée auparavant a été éliminée.
Recherche : Binarly, New Zyxel GS1900 pre-auth RCE vulnerability revealed et avis de vulnérabilité Binarly BRLY-2026-057.
Qu’est-ce qui est confirmé au sujet des attaques ?
GreyNoise a documenté une campagne visant des appareils Zyxel GS1900 et a indiqué que des attaquants avaient extrait des données sensibles de 996 commutateurs dans 48 pays.
L’activité comprenait le vol de configurations d’appareils, d’identifiants de niveau root hachés et d’informations réseau. GreyNoise a également indiqué que 564 des victimes avaient des identifiants d’usine par défaut.
GreyNoise a d’abord associé l’exploitation à CVE-2026-7273. Binarly a ensuite indiqué que la technique d’attaque exploitait la faiblesse distincte corrigée sous l’identifiant CVE-2026-107441.
La CISA a ajouté CVE-2026-7273 à son catalogue Known Exploited Vulnerabilities le 21 septembre. Binarly soutient que, puisque l’acteur exploitait une vulnérabilité différente et que le correctif antérieur restait inefficace, la recommandation de mise à niveau qui en a découlé n’a pas protégé les appareils contre cet acteur. L’avis de Binarly ajoute que, si l’exploit vise une vulnérabilité différente, l’association faite par la CISA entre cette activité et CVE-2026-7273 serait incorrecte.
Les éléments disponibles sur la campagne n’établissent pas la version de firmware installée sur chaque appareil compromis.
Il serait donc inexact d’affirmer que les 996 commutateurs ont tous été compromis après l’installation de Patch 2.
La conclusion étayée est plus restreinte : des appareils GS1900 ont fait l’objet d’une exploitation documentée, et des chercheurs ont ensuite identifié un chemin d’attaque que la mise à jour antérieure ne bloquait pas.
Documenté
GreyNoise a documenté une campagne visant des appareils Zyxel GS1900 et a indiqué que des attaquants avaient extrait des données sensibles de 996 commutateurs dans 48 pays.
Données volées
L’activité comprenait le vol de configurations d’appareils, d’identifiants de niveau root hachés et d’informations réseau.
Identifiants usine
GreyNoise a également indiqué que 564 des victimes avaient des identifiants d’usine par défaut.
Non établi
Les éléments disponibles sur la campagne n’établissent pas la version de firmware installée sur chaque appareil compromis. Il serait donc inexact d’affirmer que les 996 commutateurs ont tous été compromis après l’installation de Patch 2.
La conclusion étayée est plus restreinte : des appareils GS1900 ont fait l’objet d’une exploitation documentée, et des chercheurs ont ensuite identifié un chemin d’attaque que la mise à jour antérieure ne bloquait pas.
Sources : GreyNoise, Open Season on Kapibala, entrée du catalogue Known Exploited Vulnerabilities de la CISA pour CVE-2026-7273 ainsi que la chronologie et l’avis de Binarly cités plus haut.
Quels commutateurs ont besoin de Patch 3 ?
L’avis de novembre de Zyxel recense dix modèles GS1900 concernés.
| Modèle concerné | Firmware correctif |
|---|---|
| GS1900-8 | 2.90(AAHH.3)C0 |
| GS1900-8HP | 2.90(AAHI.3)C0 |
| GS1900-10HP | 2.90(AAZI.3)C0 |
| GS1900-16 | 2.90(AAHJ.3)C0 |
| GS1900-24 | 2.90(AAHL.3)C0 |
| GS1900-24E | 2.90(AAHK.3)C0 |
| GS1900-24EP | 2.90(ABTO.3)C0 |
| GS1900-24HPv2 | 2.90(ABTP.3)C0 |
| GS1900-48 | 2.90(AAHN.3)C0 |
| GS1900-48HPv2 | 2.90(ABTQ.3)C0 |
Pour ces modèles, Zyxel indique comme concernés le firmware `2.90(… .2)C0` correspondant et les versions antérieures.
Les administrateurs doivent comparer le modèle exact de l’appareil et la version installée avec l’avis du fabricant. Des modèles différents utilisent des identifiants de firmware différents.
Source : Zyxel, Security advisory for CVE-2026-107441.
Que doivent faire les administrateurs ?
Les organisations qui exploitent des commutateurs GS1900 doivent identifier les appareils concernés, comparer le firmware installé avec l’avis de novembre et déployer la version Patch 3 correspondante.
L’accès à l’interface d’administration doit être limité aux réseaux et systèmes d’administration autorisés. Selon l’évaluation de Binarly, la question pertinente est de savoir si le service d’administration est accessible depuis un réseau non fiable, quel qu’il soit, et pas seulement si un attaquant se trouve sur le LAN. Cette restriction peut réduire l’exposition lorsqu’un commutateur ne peut pas être mis à jour immédiatement, mais elle ne remplace pas l’application du firmware correctif.
Les organisations qui disposent d’indices ou de soupçons raisonnables de compromission doivent aussi examiner les configurations des appareils, les accès d’administration et les identifiants.
Une mise à jour corrige la faille logicielle identifiée. Elle n’établit pas automatiquement qu’un appareil n’a jamais été compromis ni qu’un attaquant n’a laissé aucune modification derrière lui.
Les vérifications doivent donc tenir compte du fait que l’appareil était simplement vulnérable ou qu’il a peut-être déjà été exploité. Le constat de GreyNoise selon lequel 564 des victimes avaient des identifiants d’usine par défaut rappelle que l’hygiène des identifiants fait partie de la même remédiation.
Ce que cet incident enseigne sur la remédiation
Le cas Zyxel illustre une distinction que les équipes de sécurité doivent préserver.
Un inventaire des firmwares peut confirmer qu’un appareil exécute la mise à jour prescrite. L’analyse de sécurité peut établir si le comportement d’exploit observé reste possible. L’enquête sur incident peut déterminer si l’appareil a été compromis avant la remédiation.
Ces activités sont liées, mais elles répondent à des questions différentes.
Inventaire
Un inventaire des firmwares peut confirmer qu’un appareil exécute la mise à jour prescrite.
Analyse sécurité
L’analyse de sécurité peut établir si le comportement d’exploit observé reste possible.
Enquête sur incident
L’enquête sur incident peut déterminer si l’appareil a été compromis avant la remédiation.
Questions séparées
Ces activités sont liées, mais elles répondent à des questions différentes. La leçon pratique est de traiter l’installation d’un correctif comme une étape de remédiation essentielle, et non comme la preuve automatique que chaque chemin d’attaque et chaque conséquence associés ont été résolus.
La leçon pratique est de traiter l’installation d’un correctif comme une étape de remédiation essentielle, et non comme la preuve automatique que chaque chemin d’attaque et chaque conséquence associés ont été résolus.
Références et lectures complémentaires
- Zyxel, Security advisory for CVE-2026-107441. 3 novembre 2026.
- Zyxel, Security advisory for CVE-2026-7273. 16 juin 2026.
- Zyxel, GS1900 Series Patch 3 Firmware Release. 23 octobre 2026.
- Binarly, New Zyxel GS1900 pre-auth RCE vulnerability revealed. Novembre 2026.
- Binarly, Vulnerability Advisory BRLY-2026-057. Novembre 2026.
- GreyNoise, Open Season on Kapibala. 21 septembre 2026.
- CISA, Known Exploited Vulnerabilities catalog, entrée pour CVE-2026-7273. 21 septembre 2026.
Examen des preuves arrêté au 5 novembre 2026. Les documents primaires de Zyxel, GreyNoise et Binarly, y compris l’analyse complète de Binarly et l’avis BRLY-2026-057, ont été lus directement et comparés à cet article. Le mécanisme de l’exploit reste attribué à Binarly et n’a pas été reproduit par TechiesJournal.