A Zyxel confirmou em 11 de outubro de 2026 uma nova vulnerabilidade nos switches gerenciáveis da linha GS1900, registrada como CVE-2026-107441, que permite executar comandos como root sem qualquer autenticação. A fabricante publicou a correção em 22 de outubro e o aviso formal em 3 de novembro. A falha atinge o mesmo trecho de código reparado em junho.
A interface web do equipamento guarda os parâmetros recebidos em um bloco fixo de 140 posições de 1.024 bytes. A rotina copia o dado para dentro do bloco antes de conferir quantas posições já foram ocupadas. Um valor suficientemente longo na posição 139 transborda e sobrescreve o próprio contador, o campo encarregado de limitar a escrita.
Com o contador transformado em número negativo, o atacante passa a escrever em endereços anteriores ao bloco, alcança ponteiros de função e desvia a execução para comandos próprios. A sequência dispensa credencial e roda por HTTP comum contra a porta de gerenciamento, em um processo que opera como root. A Binarly avalia a gravidade como superior aos 8,8 atribuídos pela Zyxel, porque a falha está em memória global.
O que diferencia este caso é a correção anterior. A CVE-2026-7273, reparada em 16 de junho, ganhou uma verificação de contador que roda depois da cópia insegura. A Binarly testou as dez versões de firmware corrigidas em 28 de setembro e encontrou todas ainda abertas. A CISA havia incluído a falha original no catálogo de vulnerabilidades exploradas em 21 de setembro.
O GreyNoise observou um único ator atingir 996 switches GS1900 em 48 países por volta de 17 de agosto. Desses equipamentos, 564 ainda usavam as credenciais de fábrica, o que dispensou qualquer esforço de exploração. Itália, Estados Unidos e Taiwan concentraram o maior número de alvos.
De cada aparelho o ator levou a configuração completa, os hashes das senhas de root e detalhes da topologia de rede. A coleta era feita por um script Python ofuscado que baixava um coletor por TFTP e depositava o resultado em uma pasta servida pela interface web. Nos equipamentos mais explorados foram encontrados o backdoor JITTERLY e o rootkit SIXZUT. A Acronis associou o ator à campanha Red Heron.
A recomendação é atualizar todo switch GS1900 para a correção de 22 de outubro ou posterior, retirar as páginas de gerenciamento da internet e trocar de imediato qualquer senha de fábrica em uso. Equipamento que tenha ficado exposto deve ser tratado como possivelmente comprometido, com rotação das credenciais de root, já que os hashes podem ter sido copiados. A revisão dos registros ajuda a identificar alterações de configuração e requisições web fora do padrão.
