Zyxel GS1900シリーズのスイッチで最近修正された脆弱性が、ゼロデイとして悪用され、約1,000台のデバイスが侵害されていたことが分かりました。セキュリティ企業のBinarlyが報告しています。
この脆弱性は「CVE-2026-107441」として追跡されており、CVSSスコアは8.8です。Zyxel GS1900シリーズスイッチのファームウェアに含まれるCGIプログラムの境界外書き込み（out-of-bounds write）の問題とされています。
Zyxelによると、認証されていない攻撃者が細工したHTTPリクエストを送信することで、この欠陥を悪用し、OSコマンドを実行できる可能性があります。
影響を受けるGS1900スイッチは10モデルです。Zyxelは10月23日に修正版を公開し、11月3日にセキュリティアドバイザリを発表しました。
同じ日、Binarlyは、これまで中国のハッキンググループによるものとされていた攻撃で、CVE-2026-107441が悪用されていたと警告しました。
先行する報告は、GreyNoiseによるものです。GreyNoiseは9月21日、ハッカーが6月に修正されたZyxelのバグ「CVE-2026-7273」を悪用し、8月に約1,000台のデバイスを侵害したと警告していました。
GreyNoiseはこの攻撃を、中国の脅威アクターである「Red Heron」と関連付けました。Red Heronは、Acronisが大規模なハッキングキャンペーンでGiteaインスタンスを標的にしていることを確認した攻撃者です。また、CISAはCVE-2026-7273をKEVカタログに追加しました。
しかしBinarlyは今回、攻撃者はCVE-2026-7273を標的にしていなかったと指摘しています。攻撃者はAcronisが分析したマルウェア「Jitterly」と「Sixzut」の亜種を展開していましたが、使われたエクスプロイトは、それまで知られていなかった別の脆弱性を狙ったものでした。
「脅威アクターは別の脆弱性を悪用しており、CVE-2026-7273のパッチも効果がないままでした。そのため、このパッチはこの脅威アクターによる悪用からデバイスを守る役には立ちませんでした」と、Binarlyは説明しています。
BinarlyはZyxelに9月29日に調査結果を通知しました。同社は2週間後に、現在「CVE-2026-107441」として追跡されている新たな脆弱性を確認しました。
「今回のような事例は、ソフトウェアの脆弱性をより確実に確認する方法が必要であることを示しています。アドバイザリやバージョン番号は確かに役立ちますが、鵜呑みにはできません。ソフトウェアコンポーネントに脆弱性が含まれているかを見極める決定的な方法は、バイナリコードを調べることだと私たちは確信しています」と、同社は述べています。
