Zyxel GS1900シリーズのネットワークスイッチは、実環境で悪用されたと後に報告された脆弱性の修正を受けたものの、攻撃者が使ったエクスプロイトに対しては依然として脆弱であることが、Binarlyの調査で判明しました。
パッチが修正したのは、エクスプロイトが実際に突いている脆弱性（CVE-2026-107441）ではなく、別の脆弱性（CVE-2026-7273）だったためです。
未修正の脆弱性を突くエクスプロイト
Zyxelは2026年6月、CVE-2026-7273に関するアドバイザリを公開しました。これは、GS1900のファームウェアバージョン2.90(XXXX.1)C0以前のCGIプログラムに存在するスタックベースのバッファオーバーフロー脆弱性です。LAN上の認証されていない攻撃者が、細工したHTTPリクエストを送ることで、OSコマンドを実行できるおそれがあります。
この脆弱性はファームウェアバージョン2.90(XXXX.2)C0で修正されました。その後、GreyNoiseが中国語圏の攻撃者による悪用を報告したことを受け、9月21日にCISAの悪用が確認された脆弱性（KEV）カタログへ追加されました。この攻撃者は48カ国のおよそ1,000台のデバイスを侵害し、設定情報、ネットワーク情報、ハッシュ化されたルート権限の認証情報を窃取していたとされています。
GreyNoiseのレポート公開の数日前、Binarlyは、Acronisの研究者が以前に分析し、同じ攻撃者との関連が指摘されていたマルウェアの調査に着手しました。このマルウェアのコマンド&コントロール（C2）サーバーを調べたところ、gs1900_bundle.tar.gzというファイルを公開しているオープンディレクトリが見つかりました。
このアーカイブには、そのまま使えるエクスプロイトが入っていました。PyArmorで難読化されたPython 3.10スクリプトexp.pyで、pytransformランタイムライブラリとコンパイル済みバイトコードが同梱されています。コマンドラインから実行でき、GS1900スイッチのWeb管理用CGIである/cgi-bin/dispatcher.cgiを標的とします。
Binarlyがこのエクスプロイトを試したところ、予想外の結果が出ました。Zyxelの6月の修正がすでに適用された10種類のファームウェアリリースすべてで、認証なしのコマンド実行に成功したのです。攻撃者がスイッチの侵害にCVE-2026-7273だけを使っていたわけではなく、そもそも使っていなかった可能性もあります。
Binarlyは9月29日にZyxelへ発見を報告し、Zyxelは10月22日にCVE-2026-107441の修正を公開しました。これはZyxel GS1900シリーズスイッチのファームウェアのCGIプログラムにある境界外書き込みの脆弱性で、LAN上の認証されていない攻撃者が、細工したHTTPリクエストによってOSコマンドを実行できるおそれがあります。
Binarlyの研究者は「LLMは攻撃者に大きな力を与えます（このエクスプロイトもLLMが生成したものと考えています）。一方で防御側にも大きな力になります（私たちはLLMを使い、影響を受けるファームウェアバージョンを動かすエミュレーション環境を構築しました）」と述べています。そのうえで、今回のような事例は、ソフトウェアの脆弱性をより確実に確認する手段が急務であることを示していると指摘しました。
研究者らは「アドバイザリやバージョン番号は確かに役立ちますが、鵜呑みにはできません。ソフトウェアコンポーネントに脆弱性が含まれているかを確実に判断する方法は、バイナリコードを調べることだと私たちは確信しています」と付け加えています。
GS1900の利用者が取るべき対応
2.90 Patch 2ビルド（XXXX.2）C0以前を実行しているGS1900スイッチは、すべて脆弱です。
CVE-2026-107441の修正は、2.90 Patch 3のファームウェアリリースに含まれています。管理者は影響を受けるスイッチをすべてアップグレードし、侵害の痕跡の調査も検討してください。
翻訳元: https://www.helpnetsecurity.com/2026/11/05/zyxel-cve-2026-107441-exploit/
