Zyxel製スイッチのパッチに見落とし、相次ぐ攻撃の原因となった脆弱性が残存

Zyxel GS1900シリーズのスイッチ用ファームウェアに、6月のセキュリティアップデートでも修正されなかった脆弱性が残っていることが判明しました。48カ国の996台のスイッチを狙った攻撃で悪用された脆弱性が、このパッチで本当に修正されたのかという疑問が浮上しています。

ファームウェアセキュリティ企業のBinarlyは、11月3日に公開した調査結果でこの問題を詳述しました。脅威インテリジェンス企業のGreyNoiseが9月に報告していた攻撃コードとの関連も指摘しています。この脆弱性には新たにCVE-2026-107441が割り当てられました。スイッチのWeb管理プログラムにおける境界外書き込みの脆弱性で、認証されていない攻撃者がroot権限でオペレーティングシステム（OS）コマンドを実行できる可能性があります。

これらの攻撃は当初、CVE-2026-7273に関連付けられていました。Zyxelが6月16日に修正したこの脆弱性は、同じプログラムにおけるスタックベースのバッファオーバーフローとされ、深刻度は8.8と評価されています。GreyNoiseは9月21日、攻撃者がこの脆弱性を悪用し、48カ国の996台のZyxel GS1900スイッチからスイッチの設定、ハッシュ化されたrootの認証情報、ネットワーク情報を窃取したと報告しました。

米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）も同日、CVE-2026-7273を「既知の悪用された脆弱性（KEV）カタログ」に追加しています。

ネットワーク機器のゼロデイ脆弱性に関する関連記事：Cisco Catalyst SD-WANの重大なゼロデイ脆弱性、悪用が活発化

6月の修正後も脆弱なコードが残存

Binarlyは、GreyNoiseが説明したものと一致する難読化されたPythonの攻撃コードを分析しました。9月28日、研究者らは6月の修正版として提供された10種類のファームウェアすべてが、この攻撃コードに対して脆弱なままであることを確認しています。

Binarlyによると、6月の変更ではチェック処理が追加されたものの、そのチェックが実行されるのは、安全でないコピーがすでに行われた後でした。研究者らは、この変更は「脆弱性に対処していない」と指摘しています。

同社は2通りの可能性を挙げています。1つは、6月のパッチとその説明、および共通脆弱性評価システム（CVSS）のスコアが誤っていた可能性です。もう1つは、攻撃が別の脆弱性を突いたもので、CISAによるCVE-2026-7273との関連付けが誤りだった可能性です。

いずれにしても、修正版として公開された10種類のファームウェアすべてに脆弱なコードが含まれているとBinarlyは述べています。

深刻度に見解の相違、Zyxelは新ファームウェアを公開

ZyxelはCVE-2026-107441の深刻度を8.8と評価し、悪用にはローカルネットワーク上にいる必要があるとしています。一方、Binarlyは9.8と評価し、スイッチの管理サービスにネットワーク経由でアクセスできれば悪用可能だとしています。

Binarlyは9月29日にZyxelへ通知したといいます。Zyxelは10月11日に脆弱性を確認し、10月22日に修正版を公開、11月3日にセキュリティアドバイザリを公表しました。

この脆弱性は、GS1900シリーズの10モデルに影響します。たとえばGS1900-8では、ファームウェア2.90(AAHH.2)C0以前が影響を受け、2.90(AAHH.3)C0で修正されています。

Zyxelはユーザーに対し、「最適な保護のため」アップデートを適用するよう呼びかけています。同社のアドバイザリでは、6月にリリースされたファームウェアも影響を受けるバージョンに含まれています。6月に更新したスイッチも、新しいファームウェアへの更新が必要です。