Zyxel parchea el zero-day explotado en switches GS1900

Zyxel corrigió el 22 de octubre una vulnerabilidad distinta de la que había parcheado en junio en la familia GS1900. El nuevo fallo, CVE-2026-107441, permite que una petición HTTP manipulada a la interfaz web escriba fuera de los límites de memoria y ejecute comandos del sistema operativo. El atacante no necesita autenticarse, pero sí alcanzar la interfaz desde la red; el aviso de Zyxel lo describe como un ataque basado en LAN, no como una explotación automática desde cualquier punto de Internet.

La noticia importa porque la campaña observada parecía haberse detenido con el firmware de junio. GreyNoise detectó desde agosto actividad contra equipos GS1900 y contó 996 dispositivos comprometidos en 48 países, según la cobertura de BleepingComputer. Al principio la actividad se relacionó con CVE-2026-7273, una vulnerabilidad anterior. Binarly comprobó que el exploit seguía funcionando incluso en firmware que incorporaba aquella corrección, y Zyxel asignó un CVE separado después de investigar el nuevo fallo.

-InfraCrew dice: tener aplicada la actualización de junio no responde a una pregunta que todavía no existía en junio.-

El parche anterior cerraba otra ruta

La diferencia técnica está en cómo el programa CGI del servidor web procesa los parámetros de la petición. El arreglo de junio añadió comprobaciones para evitar un desbordamiento anterior, pero el exploit recuperado por Binarly manipulaba el contador de parámetros antes de que se validara. Con esa secuencia podía volver a escribir memoria y ejecutar órdenes sin credenciales. No es un bypass de autenticación que permita entrar a toda la red, sino una vulnerabilidad del plano de administración del switch que requiere conectividad hasta la interfaz afectada.

La evidencia pública describe algo más que una prueba de laboratorio. BleepingComputer atribuye a GreyNoise la observación de un actor denominado Kapibala y la descarga posterior de scripts que recogían configuraciones, hashes de credenciales root e información de red. La cifra de 996 equipos es un recuento de los investigadores citado por el medio; Zyxel, por su parte, confirma el defecto y los modelos afectados, pero su advisory no cuantifica los dispositivos comprometidos. Conviene mantener separadas esas dos atribuciones para no convertir una observación de terceros en un dato del fabricante.

Zyxel publicó el advisory el 3 de noviembre. La actualización corregida estaba disponible desde el 22 de octubre para los diez modelos GS1900 que siguen dentro de su periodo de soporte de vulnerabilidades. El vendor indica que los modelos comercializados que no aparecen en la matriz no están afectados por esta vulnerabilidad.

-InfraCrew dice: en una flota con varios sufijos de modelo, “subimos el firmware del GS1900” sigue siendo una frase a medio inventario.-

Qué revisar en la red

Empieza por cruzar el modelo exacto y el build que presenta cada equipo con la tabla oficial. No basta con encontrar la referencia GS1900 en la consola de activos: varios modelos usan cadenas de firmware diferentes y el sufijo forma parte de la versión corregida. Prioriza los switches cuyo plano de administración sea accesible desde segmentos de usuarios, redes de invitados o VPN amplias, y confirma después del cambio qué versión quedó realmente instalada.

El aviso oficial no propone un workaround que sustituya a la actualización. Si la ventana de mantenimiento no es inmediata, limita temporalmente el acceso a la administración a estaciones y redes de gestión autorizadas, y comprueba que la interfaz no esté publicada de forma innecesaria. Esa reducción de exposición no elimina la vulnerabilidad ni acredita que el equipo no haya sido alcanzado antes; si los registros disponibles indican actividad anómala, conserva evidencias y sigue el procedimiento de respuesta del entorno.

Una comprobación final razonable incluye validar que el switch vuelve a enrutar el tráfico esperado, revisar el acceso de gestión y confirmar el build corregido en cada unidad. El firmware de junio no cierra este caso: la actualización relevante es la que incorpora la corrección de CVE-2026-107441 para el modelo concreto.

-InfraCrew dice: el parche cuenta cuando el switch arrancó con la build corregida, no cuando el cambio quedó bonito en el ticket.-

Diccionario de la Crew

CGI — Interfaz que permite ejecutar programas del servidor web para procesar peticiones dinámicas.
Escritura fuera de límites — Error de memoria que permite escribir datos fuera del espacio reservado para un objeto.
Build — Número o cadena que identifica una compilación concreta del firmware.
Plano de administración — Interfaces y servicios que permiten configurar y mantener el equipo, separados del tráfico que reenvía.

Fuentes consultadas

• Zyxel — Security advisory CVE-2026-107441
• BleepingComputer — Zyxel fixes zero-day exploited to hack nearly 1,000 switches