In questo articolo Indice dei contenuti 2 sezioni
Zyxel ha corretto una vulnerabilità zero day presente negli switch di rete GS1900 che alcuni hacker hanno sfruttato per compromettere quasi 1.000 dispositivi in tutto il mondo, portando via file di configurazione e credenziali. La falla, identificata come CVE 2026 107441, è un difetto di scrittura fuori dai limiti della memoria che si trova nell’interfaccia web di gestione degli apparati. Un aggressore privo di autenticazione ma con accesso alla rete può eseguire comandi del sistema operativo inviando richieste HTTP costruite ad arte.
Il problema riguarda dieci modelli della serie GS1900. Il produttore ha distribuito gli aggiornamenti di sicurezza il 22 ottobre e ha pubblicato il relativo bollettino il 3 novembre. C’è però un dettaglio curioso in tutta la vicenda, perché all’inizio la vulnerabilità era stata scambiata per un difetto più vecchio, che Zyxel aveva già sistemato mesi prima dell’avvio degli attacchi.
Gli attacchi e lo scambio di identità con la vecchia falla
Il 16 giugno 2026 l’azienda aveva rilasciato una patch per la CVE 2026 7273, un buffer overflow sfruttabile prima dell’autenticazione e presente proprio sugli stessi switch. Dal 17 agosto circa la società di sicurezza informatica GreyNoise ha osservato un gruppo sospettato di essere di lingua cinese, noto con il nome di Kapibala, intento a colpire i dispositivi del marchio. Il bilancio parla di 996 apparati compromessi in 48 Paesi.
Gli aggressori sfruttavano la falla per eseguire comandi da remoto e poi scaricavano uno script che raccoglieva le configurazioni dei dispositivi, le credenziali di root sotto forma di hash e diverse informazioni sulla rete. GreyNoise ha collegato Kapibala alla campagna Red Heron, già segnalata da Acronis per l’abuso di una vulnerabilità critica in Gitea, il servizio Git ospitato in proprio.
Quando il 21 settembre GreyNoise ha reso pubblica l’operazione, l’ha attribuita alla CVE 2026 7273, cioè alla falla corretta a giugno. Lo stesso giorno la CISA ha inserito quel difetto nel suo catalogo delle vulnerabilità sfruttate attivamente, obbligando le agenzie federali statunitensi a intervenire. Le cose però stavano diversamente.
La scoperta di Binarly e la nuova patch
I ricercatori di Binarly, società specializzata nella sicurezza dei firmware, hanno capito che l’exploit usato negli attacchi puntava in realtà a un difetto distinto e fino ad allora sconosciuto, ancora privo di correzione. Analizzando l’infrastruttura di Red Heron legata alla backdoor JITTERLY e al rootkit SIXZUT, hanno trovato un archivio esposto con dentro un exploit in Python offuscato e pensato per gli switch GS1900.
Studiandolo con attenzione è emerso che il codice controllava in modo specifico le versioni del firmware già aggiornate contro la CVE 2026 7273, segno che era stato sviluppato o adattato apposta per colpire quelle release. Il 28 settembre Binarly ha confermato che l’attacco funzionava ancora su tutte e dieci le versioni corrette. La patch precedente aveva introdotto dei controlli contro il buffer overflow, ma gli aggressori riuscivano ad aggirarli corrompendo un contatore dei parametri prima della sua validazione. In questo modo l’exploit sovrascriveva la memoria ed eseguiva comandi senza autenticazione anche sugli switch aggiornati.
Binarly ha segnalato la scoperta a Zyxel il 29 settembre e l’11 ottobre il produttore ha confermato la nuova vulnerabilità assegnandole l’identificativo CVE 2026 107441. L’azienda l’ha classificata come falla separata perché l’exploit sfruttava anche la mancata verifica della lunghezza dei parametri HTTP. Il 22 ottobre sono arrivati i nuovi firmware, che limitano la dimensione dei parametri e ne controllano il numero prima di copiare i dati in memoria, bloccando così la tecnica d’attacco.
Non è ancora chiaro se l’exploit recuperato sia nato deliberatamente per scavalcare i vecchi aggiornamenti oppure se abbia sfruttato un problema correlato che le prime correzioni non avevano risolto. Agli amministratori degli switch di rete GS1900 interessati viene raccomandato di installare gli ultimi aggiornamenti del firmware per proteggersi dalla CVE 2026 107441.
Fonte: TecnoAndroid