Zyxel製ネットワークスイッチ「GS1900」シリーズにゼロデイ脆弱性が見つかりました。認証なしの攻撃者がOSコマンドを実行できる可能性があり、同社が6月に公開したセキュリティパッチを適用済みの機器でも影響を受けます。「CVE-2026-107441」と呼ばれるこの脆弱性は10機種のスイッチに影響し、2度目のファームウェア更新で対処されました。
問題は理論上のエクスプロイトにとどまりません。セキュリティ研究者は、この攻撃手法が48カ国の996台のスイッチを侵害したキャンペーンと関連していると指摘しています。CVE-2026-7273向けの先の更新を適用した管理者も、あらためてファームウェアを確認する必要があります。
Zyxelは6月16日、GS1900シリーズのWeb管理ソフトウェアに存在するバッファオーバーフロー脆弱性「CVE-2026-7273」に対処するファームウェア更新を公開しました。
ところがその後、Binarlyの研究者が、これらのスイッチを狙って出回っているエクスプロイトがパッチ適用済みのファームウェアに対しても有効であることを突き止めました。
問題の原因は、管理インターフェースがHTTPリクエストのパラメータを処理する方法にありました。ソフトウェアはパラメータを固定サイズのメモリ領域に格納していましたが、コピーの前に長さを適切に検証していませんでした。
6月のパッチではパラメータ数のチェックが追加されましたが、実行されるタイミングが遅すぎました。長すぎるパラメータが検証の前にカウンタを上書きできるため、攻撃者はメモリを破壊してプログラムの実行を乗っ取ることが可能でした。
Binarlyは9月29日にこの問題をZyxelに報告しました。Zyxelは、パラメータ長の検証漏れを別の脆弱性「CVE-2026-107441」として分類しています。
Zyxelが11月3日に公開したセキュリティアドバイザリによると、この脆弱性により、LAN内の攻撃者が認証情報なしで、細工したHTTPリクエストを通じてOSコマンドを実行できる可能性があります。
Zyxelはこの脆弱性のCVSSスコアを8.8としましたが、Binarlyは9.8と評価しています。Binarlyは、悪用に成功すればroot権限でコマンドを実行される可能性があると報告しました。
新たに公開されたPatch 3のファームウェアでは、データをコピーする前にパラメータ数を検証し、パラメータのサイズを制限することで根本的な問題に対処しています。
1,000台近いZyxelスイッチが侵害
この脆弱性は、研究者が問題を公表する前からすでに進行していた攻撃キャンペーンと関連付けられています。
GreyNoiseは9月、「Kapibala」として追跡している攻撃者が、8月17日ごろから48カ国で996台のGS1900スイッチを侵害したと報告しました。
攻撃者はデータ収集スクリプトをダウンロードさせ、スイッチの設定、ハッシュ化されたrootの認証情報、ネットワーク情報を収集していました。
侵害されたスイッチのうち564台は、工場出荷時のデフォルト認証情報を使い続けていたとされ、これも新たなセキュリティ上の懸念となっています。
Binarlyはその後、バックドア「JITTERLY」に関連するインフラ上で、動作するエクスプロイトを発見しました。分析の結果、このエクスプロイトが6月のファームウェア修正を回避できることが確認されました。
侵害された機器のうち、その後どれだけがクリーンアップまたは更新されたかは、調査では明らかになっていません。
攻撃者はほかのネットワーク管理システムも標的にしています。最近のCisco SD-WANへの攻撃では暗号鍵の素材を収集するよう設計されたマルウェアが使われました。また、別のArista VeloCloudの脆弱性では、攻撃者が特権オペレーターのアクセス権を取得できました。
Patch 3が必要なZyxel GS1900のモデルは？
Zyxelは影響を受ける機種として10モデルを挙げています。いずれも、末尾が.3)C0の対応するファームウェアバージョンが必要です。
- GS1900-8: 2.90(AAHH.3)C0
- GS1900-8HP: 2.90(AAHI.3)C0
- GS1900-10HP: 2.90(AAZI.3)C0
- GS1900-16: 2.90(AAHJ.3)C0
- GS1900-24: 2.90(AAHL.3)C0
- GS1900-24E: 2.90(AAHK.3)C0
- GS1900-24EP: 2.90(ABTO.3)C0
- GS1900-24HPv2: 2.90(ABTP.3)C0
- GS1900-48: 2.90(AAHN.3)C0
- GS1900-48HPv2: 2.90(ABTQ.3)C0
各モデルについて、末尾が.2)C0のPatch 2ビルドと、それ以前のバージョンはすべて脆弱なままです。
Zyxelによると、現在販売中の製品のうち、影響を受けるモデルの一覧に含まれないものは、この脆弱性の影響を受けません。
管理者が今すぐ行うべき対応
影響を受けるGS1900スイッチを運用している組織は、モデルごとのPatch 3ファームウェアをただちに適用してください。更新は、Zyxelが11月3日にアドバイザリを公開するより前の10月に公開されています。
管理者は、あわせて次の対応も行う必要があります。
- ファームウェアバージョンの確認: 影響を受けるすべてのスイッチで、正しいPatch 3のビルドが動作していることを確認する
- 管理アクセスの制限: 信頼できないネットワークやインターネット上のホストから、Web管理インターフェースへ到達できないようにする
- 認証情報の更新: デフォルトパスワードを変更し、攻撃キャンペーン中に漏えいした可能性のある認証情報を変更する
- 設定の見直し: スイッチの設定を正常時のバックアップと比較し、不正な変更がないか調べる
- 侵害の有無の確認: 利用可能なネットワークログと、Kapibalaキャンペーンに関連する痕跡情報を調べる
悪用が行われた期間中に信頼できないネットワークへ公開されていた機器は、さらに踏み込んだ調査が必要です。新しいファームウェアを適用すれば脆弱性は塞がりますが、それ以前に受けた侵害が自動的に元に戻るわけではありません。
CISAは9月、先のCVE-2026-7273を既知の悪用された脆弱性（KEV）カタログに追加しました。11月4日時点では、新しいCVE-2026-107441は追加されていません。最近のCISAによる追加には、SonicWallや企業向けインフラに影響する、実際に悪用されている脆弱性も含まれています。
そのため、CISAが求めた先の是正措置をすでに完了している組織も、以前のパッチ適用記録に頼らず、ファームウェアを独自に確認する必要があります。
関連記事: 攻撃者は、SonicWallの重大な脆弱性が公表されてからわずか2日後に標的にし、研究者は135件の悪用の試みを記録しました。
翻訳元: https://www.esecurityplanet.com/cybersecurity-threats/news-zyxel-gs1900-zero-day-cve-2026-107441/
