CISA: Bundesbehörden müssen Zyxel-Switch-Lücke bis 24. September schließen

CISA hat CVE-2026-7273, einen Stack-basierten Pufferüberlauf in der CGI-Komponente von Switches der Zyxel-GS1900-Serie, am 21. September 2026 in den Known-Exploited-Vulnerabilities-Katalog aufgenommen. Die mit CVSS 8,8 bewertete Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer im lokalen Netz, eine manipulierte HTTP-Anfrage zu senden, um Betriebssystembefehle auf dem Switch auszuführen. Gemäß der Binding Operational Directive 26-04 müssen zivile US-Bundesbehörden sie bis zum 24. September 2026 beheben – eine Frist, die für Bundesbehörden gilt und nicht für jede Organisation, die die betroffene Hardware einsetzt.

Bereits aktiv ausgenutzt

Die Aufnahme in den CISA-Katalog folgt auf Berichte, denen zufolge ein mutmaßlich chinesischsprachiger Akteur die Schwachstelle seit dem 17. August 2026 ausnutzt und dabei fast 1.000 Zyxel-Switches in 48 Ländern kompromittiert hat, darunter die USA, Italien, Taiwan und Frankreich. Diesen Berichten zufolge nutzte der Angreifer den Exploit, um einen TFTP-Client auszuführen, ein verschleiertes Python-Collector-Skript herunterzuladen und Gerätekonfigurationsdaten sowie gehashte Root-Zugangsdaten zu exfiltrieren. Rund 560 der kompromittierten Geräte hatten den Berichten zufolge noch werksseitige Standard-Anmeldedaten, was die Schwere der Schwachstelle nicht beeinflusst, aber Folgekompromittierungen erleichtert.

Betroffene Modelle und Behebung

Die Sicherheitsempfehlung betrifft die Modelle GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48 und -48HPv2. Zyxel hat im Juni 2026 eine korrigierte Firmware für die betroffene Baureihe veröffentlicht; deren Einspielen ist die einzige vollständige Behebung, da die Schwachstelle im Management-CGI des Switches liegt und nicht in einer Einstellung, die sich einfach deaktivieren lässt.

Was MSPs diese Woche tun sollten

• Alle GS1900-Switches an Kundenstandorten inventarisieren; Firmware-Version und Erreichbarkeit des Management-Zugangs von außerhalb eines vertrauenswürdigen Admin-VLANs festhalten.
• Das von Zyxel bereitgestellte Firmware-Update einspielen, statt sich allein auf netzwerkseitige Absicherungen zu verlassen.
• HTTP-Management auf diesen Switches auf ein dediziertes Admin-VLAN beschränken und alle werksseitigen Standard-Anmeldedaten umgehend ändern.
• Jedes bereits ausgenutzte Gerät als kompromittiert behandeln: Zugangsdaten rotieren und das Gerät aus bekanntermaßen sauberer Firmware neu aufsetzen, statt anzunehmen, dass ein Patch allein eine aktive Infektion beseitigt.

Die Frist für Bundesbehörden ist eine Untergrenze, keine Obergrenze – angesichts der bereits dokumentierten aktiven Ausnutzung von fast 1.000 Geräten gibt es für jede Organisation, die GS1900-Switches betreibt, Anlass, im selben Zeitraum zu patchen.

Quellen: CISA – Aufnahme in den KEV-Katalog, 21. September 2026, The Hacker News – Zyxel-Schwachstelle unter aktiver Ausnutzung.