CISA impose aux agences fédérales de corriger la faille des switchs Zyxel avant le 24/09.

CISA a ajouté la CVE-2026-7273, un débordement de tampon sur la pile dans le composant CGI des commutateurs de la série Zyxel GS1900, à son catalogue des vulnérabilités exploitées connues le 21 septembre 2026. Cette vulnérabilité, notée CVSS 8.8, permet à un attaquant non authentifié sur le réseau local d’envoyer une requête HTTP spécialement conçue afin d’exécuter des commandes du système d’exploitation sur le commutateur. En vertu de la directive opérationnelle contraignante 26-04, les agences civiles fédérales américaines doivent la corriger d’ici le 24 septembre 2026 — un délai qui s’applique aux agences fédérales, et non à toutes les organisations exploitant le matériel concerné.

Déjà exploitée activement

L’ajout au catalogue de CISA fait suite à des signalements indiquant qu’un acteur présumé de langue chinoise exploite la faille depuis le 17 août 2026, compromettant près de 1 000 commutateurs Zyxel dans 48 pays, dont les États-Unis, l’Italie, Taïwan et la France. Selon ces signalements, l’attaquant a utilisé l’exploit pour exécuter un client TFTP, télécharger un script collecteur Python obfusqué et exfiltrer les données de configuration de l’appareil ainsi que les identifiants hachés de niveau root. Environ 560 des appareils compromis disposaient encore, selon les rapports, des identifiants d’usine par défaut, ce qui ne dépend pas de la gravité de la faille mais facilite les compromissions ultérieures.

Modèles concernés et correctif

L’avis concerne les modèles GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48 et -48HPv2. Zyxel a diffusé un microprogramme corrigé pour cette gamme en juin 2026 ; son application constitue la seule correction complète, car la faille réside dans le CGI de gestion du commutateur et non dans un paramètre simplement désactivable.

Ce que les MSP doivent faire cette semaine

• Inventorier tous les commutateurs GS1900 sur les sites clients, en notant la version du microprogramme et si l’accès de gestion est accessible depuis l’extérieur d’un VLAN d’administration de confiance.
• Appliquer le microprogramme fourni par Zyxel plutôt que de se fier uniquement à des mesures d’atténuation au niveau réseau.
• Restreindre la gestion HTTP de ces commutateurs à un VLAN d’administration dédié et modifier immédiatement tout identifiant d’usine par défaut.
• Considérer tout appareil déjà exploité comme compromis : faire pivoter les identifiants et reconstruire à partir d’un microprogramme connu comme sain plutôt que de supposer qu’un correctif seul efface une infection active.

Le délai fédéral constitue un plancher, non un plafond : avec une exploitation active déjà documentée sur près de 1 000 appareils, toute organisation exploitant des commutateurs GS1900 a tout intérêt à corriger selon le même calendrier.

Sources : CISA — KEV catalog addition, 21 September 2026, The Hacker News — Zyxel flaw under active exploitation.