Zyxel GS1900 — CVE-2026-7273 (KEV) + CVE-2026-107441, прошивка 2.90(.3)
Суть
Обе уязвимости в CGI-программе прошивки серии GS1900. Вектор: adjacent/LAN, без аутентификации, HTTP к веб-UI → потенциальное выполнение команд ОС (формулировка Zyxel / CISA). CVE-2026-7273 — stack-based buffer overflow (advisory 16.06.2026). CVE-2026-107441 — out-of-bounds write (advisory 03.11.2026). CVSS 3.1 для 107441: 8.8 (CNA security@zyxel.com.tw). CVSS 7273 на ходе не подтверждён по NVD → неизвестно. Автообновления прошивки нет — только ручной Upload / ZON.
Затронуто и исправлено
Одинаковый список моделей в обоих advisory (вне списка — not affected):
| Модель | 7273 fix (.2) | 107441 fix (.3) |
|---|---|---|
| GS1900-8 | 2.90(AAHH.2)C0 | 2.90(AAHH.3)C0 |
| GS1900-8HP | 2.90(AAHI.2)C0 | 2.90(AAHI.3)C0 |
| GS1900-10HP | 2.90(AAZI.2)C0 | 2.90(AAZI.3)C0 |
| GS1900-16 | 2.90(AAHJ.2)C0 | 2.90(AAHJ.3)C0 |
| GS1900-24 | 2.90(AAHL.2)C0 | 2.90(AAHL.3)C0 |
| GS1900-24E | 2.90(AAHK.2)C0 | 2.90(AAHK.3)C0 |
| GS1900-24EP | 2.90(ABTO.2)C0 | 2.90(ABTO.3)C0 |
| GS1900-24HPv2 | 2.90(ABTP.2)C0 | 2.90(ABTP.3)C0 |
| GS1900-48 | 2.90(AAHN.2)C0 | 2.90(AAHN.3)C0 |
| GS1900-48HPv2 | 2.90(ABTQ.2)C0 | 2.90(ABTQ.3)C0 |
Уязвимы: для 7273 — …(xxx.1)C0 и ниже; для 107441 — …(xxx.2)C0 и ниже. Целевой build парка — ≥ …(xxx.3)C0. Пример: 2.90(AAHK.2)C0 на GS1900-24E закрывает 7273, но не 107441; нужен 2.90(AAHK.3)C0. Не путать 24 / 24E / 24EP / 24HPv2 — разные коды веток.
Эксплуатация
- CVE-2026-7273: CISA KEV added 2026-09-21, due 2026-09-24; ransomware use — unknown (KEV). Вендор в June advisory факт эксплуатации не заявляет.
- CVE-2026-107441: KEV нет; вендор «exploited» не пишет. Вторичные источники (X/блог) связывают с неполным June-патчем — в публикацию как факт атак не берём.
- Публичный PoC: не утверждаем, ссылок нет.
Как проверить
- UI: Getting Started → Device Information → Firmware Version (после flash — System Info) — полный build
2.90(КОД.N)C0. - Maintenance → Firmware → Management — active/backup image.
- Инвентарь: модель с этикетки + build; сверить с таблицей
≥.3. - Сеть: нет ли DNAT/UPnP/WAN на HTTP(S) management; отдельный mgmt VLAN / ACL «только jump-host».
Как исправить
- Zyxel Download Center → страница модели (или блок загрузок к advisory) → скачать архив, распаковать, взять
.bixс build≥.3. Чужой model-код — риск brick (User’s Guide). - Maintenance → Configuration → Backup.
- Maintenance → Firmware → Upload: Method HTTP, Image Active, Upload → reboot по запросу UI.
- Опционально: ZON Utility → Firmware Upgrade локальным официальным
.bixтой же модели (не «облачный» автопатч). - После reboot — verify active
≥.3; при необходимости activate нужный image на вкладке Management. Upload reject / active всё ещё ≤.2→ сверить model-код, known-good.bix, вкладку Management (active vs backup).
Подводные камни: попапы браузера на reboot; не обесточивать и не рвать mgmt-линк во время flash; сохранить running-config до reboot.
Если обновить нельзя
Официальных mitigation вместо патча нет. Временно: изолировать management (VLAN/ACL), запретить WAN к UI, сменить admin password, убрать лишний L2-доступ гостей к management IP. Вне поддержки — план замены.
Признаки взлома и что делать
IoC от вендора нет. При подозрении: изолировать свитч management-wise, сверить config с бэкапом, переустановить ≥.3 с known-good файла, ротировать пароли/ключи управления, смотреть соседние хосты в том же L2. Одного обновления после компрометации мало.
Источники
- Zyxel advisory CVE-2026-107441 (03.11.2026; таблица
.3): https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-out-of-bounds-write-vulnerability-in-gs1900-series-switches-11-03-2026 - Zyxel advisory CVE-2026-7273 (16.06.2026) — номером и датой, без URL (на странице вендора переход к CVE.org/NVD со ссылкой на материалы атаки)
- CISA KEV CVE-2026-7273 — номером/датой, без URL
- NVD/EUVD — номерами CVE без ссылок