В сетевых коммутаторах Zyxel GS1900 нашлась уязвимость CVE-2026-107441, которую не устранило предыдущее обновление прошивки. Эксплойт, который злоумышленники использовали в реальных атаках, позволял взламывать даже обновленные коммутаторы. Разбираемся, почему прежнее исправление не защищало компьютерную сеть и какие меры помогут предотвратить новые атаки.
Как атаки на коммутаторы Zyxel помогли обнаружить новую уязвимость
В августе 2026 года злоумышленники начали взламывать сетевые коммутаторы Zyxel GS1900, соединяющие компьютеры, серверы и другую технику внутри локальной сети. 21 сентября специалисты по кибербезопасности сообщили, что хакеры скомпрометировали 996 коммутаторов в 48 странах. Злоумышленники похищали сведения о сети, настройках оборудования и данные, связанные с паролями администраторов.
Первоначально исследователи связывали атаки с уязвимостью CVE-2026-7273. Она позволяла выполнять команды на коммутаторе без авторизации. Однако еще в июне компания Zyxel выпустила обновление прошивки 2.90 Patch 2, которое должно было устранить эту ошибку.
Тем временем другая группа специалистов по кибербезопасности тоже изучала инфраструктуру злоумышленников. 17 сентября исследователи обнаружили на одном из серверов эксплойт для коммутаторов Zyxel, позволявший получать доступ к устройству и запускать произвольные программы.
28 сентября исследователи проверили эксплойт на десяти вариантах прошивки с июньским исправлением. Оказалось, что он по-прежнему позволял выполнять команды без авторизации. Дальнейший анализ показал, что злоумышленники использовали другую, ранее неизвестную уязвимость — CVE-2026-107441.
Проблема заключалась в обработке запросов к интерфейсу управления коммутатором. По словам Zyxel, июньское обновление добавило проверку количества параметров в запросе, но не ограничивало размер каждого из них. Специально подготовленный параметр мог повредить служебные данные в памяти устройства еще до проверки. Поэтому прежнее исправление не останавливало эксплойт.
29 сентября специалисты Binarly уведомили Zyxel о новой уязвимости. Производитель подтвердил проблему 11 октября, 22 октября выпустил новый патч для устройств, а 3 ноября опубликовал бюллетень безопасности.
Один пароль — одна учетная запись
Получив хеши паролей, злоумышленники могут попытаться восстановить их и использовать для входа в другие аккаунты. Используйте менеджер паролей в Kaspersky Premium, чтобы создавать уникальные сложные комбинации для каждого сервиса и безопасно хранить их.
Попробовать Kaspersky Premium бесплатноЧем опасна уязвимость Zyxel и как защитить компьютерную сеть
Главная опасность от взлома коммутатора — возможная кража данных. Похищенная информация может помочь злоумышленникам подготовить новые атаки и нанести дополнительный ущерб компаниям.
Оценки опасности уязвимости расходятся. Zyxel описывает атакующего как находящегося в локальной сети и оценила уязвимость в 8,8 балла по шкале CVSS. Binarly считает, что эксплуатация возможна по обычному HTTP из любой сети, из которой доступен коммутатор, и оценивает уязвимость в 9,8 балла. Поэтому интерфейс управления коммутатором не должен быть доступен из интернета.
В случае Zyxel на 564 из 996 взломанных коммутаторов использовались заводские учетные данные — это создавало дополнительный риск несанкционированного доступа к оборудованию. При этом исследователи не утверждают, что именно стандартные пароли позволили хакерам первоначально проникнуть в устройства.
Чтобы закрыть обнаруженную уязвимость CVE-2026-107441, Zyxel выпустила прошивку 2.90 Patch 3 для десяти моделей серии GS1900: GS1900-8, GS1900-8HP, GS1900-10HP, GS1900-16, GS1900-24, GS1900-24E, GS1900-24EP, GS1900-24HPv2, GS1900-48 и GS1900-48HPv2. Владельцам оборудования следует проверить модель и текущую версию прошивки. Уязвимы версии 2.90(XXXX.2)C0 (Patch 2) и более ранние, где XXXX — код модели. Исправлена версия 2.90(XXXX.3)C0 (Patch 3). Если у вас установлена версия Patch 2 или более ранняя, необходимо обновить устройство.
Однако новая прошивка не поможет выяснить, успели ли злоумышленники получить доступ к оборудованию до ее установки. Если есть подозрения на взлом, администраторам нужно изучить доступные журналы событий, проверить изменения сетевых настроек и сменить пароли. Заводские учетные данные лучше заменить в любом случае.
В качестве еще одной меры защиты следует ограничить доступ к интерфейсу управления коммутатором. Для этого можно выделить отдельный сегмент сети, к которому смогут подключаться только администраторы с доверенных устройств. Контролировать такие соединения помогает Kaspersky NGFW. Межсетевой экран позволяет задавать правила доступа между сегментами и блокировать нежелательный трафик, проходящий через него.
Статьи и ссылки по теме:
- Защита малого бизнеса от киберугроз
- Что такое атака нулевого дня? Определение и описание
- Что такое брандмауэр или межсетевой экран?
Рекомендуемые продукты:
