Zyxel GS1900: switches continuaram vulneráveis após atualização e exigiram nova correção
Uma atualização de segurança nem sempre encerra todos os riscos de um equipamento. Foi o que mostrou o caso dos switches Zyxel GS1900: mesmo depois de uma correção publicada em junho de 2026, pesquisadores identificaram outra falha explorável no componente de gerenciamento. A fabricante precisou, então, disponibilizar uma nova atualização para dez modelos da linha.
A vulnerabilidade mais recente recebeu o identificador CVE-2026-107441 e pontuação 8,8 na escala CVSS v3.1, nível considerado alto. Embora possa levar à execução de comandos, ela é distinta da falha corrigida anteriormente. As duas afetam o mesmo componente, mas a atualização de junho tratou apenas a primeira vulnerabilidade, a CVE-2026-7273.
O que foi descoberto na análise
Em 16 de junho de 2026, a Zyxel publicou o firmware 2.90 Patch 2 para corrigir um estouro de buffer na pilha do componente CGI, usado pela interface administrativa dos switches GS1900. Na ocasião, a atualização deveria eliminar a condição que permitia explorar essa primeira falha.
Meses depois, pesquisadores da Binarly analisaram um script Python ofuscado associado a uma infraestrutura maliciosa. O material também foi investigado por possíveis relações com o backdoor JITTERLY e o rootkit SIXZUT. Durante os testes, a equipe observou que a técnica ainda funcionava em versões que já tinham recebido a correção de junho.
A investigação identificou uma segunda condição vulnerável: um contador de parâmetros era tratado de forma inadequada antes da validação. Isso possibilitava uma escrita fora dos limites de memória e, potencialmente, a execução de comandos. A falha foi registrada como CVE-2026-107441.
Isso não significa que a atualização anterior tenha deixado sem correção exatamente a mesma vulnerabilidade. O patch de junho corrigiu a CVE-2026-7273; a análise posterior revelou outra falha no mesmo componente. Também não há evidências suficientes para afirmar que o código de exploração foi desenvolvido especificamente para contornar o patch. A explicação mais precisa é que a segunda condição continuava presente no software.
Ataques observados e riscos para as redes
O caso ganhou relevância durante uma investigação sobre atividade maliciosa. Segundo informações divulgadas a respeito de uma campanha acompanhada pela GreyNoise, 996 switches distribuídos por 48 países foram atingidos. Entre os dados coletados estavam arquivos de configuração, informações da rede e hashes de credenciais administrativas.
Esse número não comprova que todos os equipamentos tenham sido comprometidos por meio da CVE-2026-107441. A associação entre o código de exploração e a vulnerabilidade foi estabelecida posteriormente, durante a análise do material recuperado. Por isso, é importante não confundir os dispositivos afetados pela campanha com aqueles cuja invasão foi confirmada como resultado direto dessa falha específica.
O impacto de um switch comprometido pode ultrapassar o próprio equipamento. Arquivos de configuração podem revelar a organização de VLANs, endereços de gerenciamento e a divisão da rede em segmentos. Essas informações ajudam um invasor a compreender a infraestrutura e planejar outras ações, mesmo que a invasão não provoque interrupções visíveis.
A Zyxel informou que a exploração exige que o atacante não autenticado tenha acesso à rede local e consiga alcançar o serviço de gerenciamento. Portanto, a falha não torna automaticamente todos os GS1900 acessíveis pela internet. A exposição depende de como a rede foi configurada e de quais caminhos permitem chegar à interface administrativa, inclusive por meio de VPNs, conexões de prestadores ou estações internas comprometidas.
Como reduzir a exposição
A Binarly comunicou a falha à Zyxel em 29 de setembro. A fabricante confirmou o problema em outubro e publicou o aviso de segurança em 3 de novembro, depois de disponibilizar as versões corrigidas. Administradores dos dez modelos incluídos no alerta devem conferir a versão instalada e aplicar o firmware indicado pela fabricante para o modelo específico. O firmware 2.90 Patch 2 corrige a falha anterior, mas, por si só, não deve ser considerado suficiente para resolver a CVE-2026-107441.
Antes de atualizar, é recomendável registrar a configuração atual e seguir o procedimento de instalação previsto para o equipamento. Após a aplicação do firmware, confirme se a versão foi alterada corretamente e se as funções essenciais da rede continuam operando. Em ambientes críticos, a atualização pode ser planejada em uma janela de manutenção, com uma cópia de segurança disponível para recuperação.
Também é importante limitar o acesso ao gerenciamento dos switches. A interface administrativa deve ficar restrita a redes e dispositivos autorizados, evitando que usuários comuns ou equipamentos expostos possam alcançá-la. Regras de firewall e segmentação ajudam a reduzir a possibilidade de exploração, mas não substituem a instalação da correção.
Como parte da resposta, equipes de segurança podem revisar registros de acesso e procurar conexões administrativas inesperadas, alterações não reconhecidas na configuração e sinais de uso indevido de credenciais. Se houver indícios de comprometimento, é prudente alterar senhas administrativas, avaliar os equipamentos que se comunicam com o switch e verificar se outros dispositivos da rede também foram afetados.
O episódio reforça uma prática essencial: depois de instalar um patch, é necessário confirmar sua aplicação e acompanhar novos avisos para o mesmo produto. Uma atualização pode eliminar uma vulnerabilidade sem resolver outras condições no mesmo componente. Para os administradores dos Zyxel GS1900, a medida prioritária é aplicar a correção mais recente compatível com o modelo e manter a interface de gerenciamento isolada de acessos desnecessários.