CISA ordina la correzione entro il 24 settembre della falla sfruttata negli switch Zyxel

CISA ha aggiunto CVE-2026-7273, un buffer overflow basato su stack nel componente CGI degli switch della serie Zyxel GS1900, al suo catalogo Known Exploited Vulnerabilities il 21 settembre 2026. La vulnerabilità, con punteggio CVSS 8.8, consente a un utente malintenzionato non autenticato sulla rete locale di inviare una richiesta HTTP appositamente predisposta per eseguire comandi del sistema operativo sullo switch. In base alla Binding Operational Directive 26-04, le agenzie civili federali statunitensi devono correggerla entro il 24 settembre 2026 — una scadenza che si applica alle agenzie federali, non a ogni organizzazione che utilizza l'hardware interessato.

Già sotto sfruttamento attivo

L'inserimento nel catalogo CISA fa seguito a segnalazioni secondo cui un presunto attore di lingua cinese sfrutta la falla dal 17 agosto 2026, compromettendo quasi 1.000 switch Zyxel in 48 paesi, tra cui Stati Uniti, Italia, Taiwan e Francia. Secondo tali segnalazioni, l'aggressore ha utilizzato l'exploit per eseguire un client TFTP, scaricare uno script di raccolta Python offuscato ed esfiltrare i dati di configurazione dei dispositivi e le credenziali root hashate. Circa 560 dei dispositivi compromessi avrebbero ancora credenziali predefinite di fabbrica, dalle quali la gravità della falla non dipende ma che rendono più facile una compromissione successiva.

Modelli interessati e correzione

L'avviso riguarda i modelli GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48 e -48HPv2. Zyxel ha distribuito firmware corretti per la linea interessata a giugno 2026; applicarlo è l'unica correzione completa, poiché la falla risiede nel CGI di gestione dello switch e non in un'impostazione che può essere semplicemente disabilitata.

Cosa dovrebbero fare gli MSP questa settimana

• Inventaria ogni switch GS1900 presso i siti dei clienti, annotando la versione del firmware e se l'accesso di gestione è raggiungibile dall'esterno di una VLAN di amministrazione attendibile.
• Applica l'aggiornamento firmware fornito da Zyxel invece di affidarti solo alle mitigazioni a livello di rete.
• Limita la gestione HTTP su questi switch a una VLAN di amministrazione dedicata e cambia immediatamente eventuali credenziali predefinite di fabbrica.
• Considera qualsiasi dispositivo già sfruttato come compromesso: ruota le credenziali e ricostruisci da firmware noto come integro, invece di presumere che una patch da sola elimini un'infezione attiva.

La scadenza federale è un limite minimo, non massimo — con lo sfruttamento attivo già documentato su quasi 1.000 dispositivi, qualsiasi organizzazione che utilizza switch GS1900 ha motivo di applicare la patch con la stessa tempistica.

Fonti: CISA — aggiunta al catalogo KEV, 21 settembre 2026, The Hacker News — falla Zyxel sotto sfruttamento attivo.