CISA nakazuje federalną naprawę wykorzystywanej luki w przełącznikach Zyxel do 24 września

CISA dodała CVE-2026-7273, przepełnienie bufora stosu w komponencie CGI przełączników serii Zyxel GS1900, do katalogu znanych wykorzystywanych luk 21 września 2026 r. Luka, oceniona na CVSS 8.8, pozwala nieuwierzytelnionemu atakującemu w sieci lokalnej wysłać spreparowane żądanie HTTP, aby uruchomić polecenia systemu operacyjnego na przełączniku. Zgodnie z wiążącą dyrektywą operacyjną 26-04 amerykańskie federalne agencje cywilne muszą ją usunąć do 24 września 2026 r. — termin ten dotyczy agencji federalnych, a nie każdej organizacji używającej podatnego sprzętu.

Już aktywnie wykorzystywana

Dodanie do katalogu KEV nastąpiło po doniesieniach, że podejrzany chińskojęzyczny aktor wykorzystuje tę lukę od 17 sierpnia 2026 r., kompromitując blisko 1000 przełączników Zyxel w 48 krajach, w tym w Stanach Zjednoczonych, Włoszech, na Tajwanie i we Francji. Według tych doniesień atakujący użył exploita do uruchomienia klienta TFTP, pobrania zaciemnionego skryptu zbierającego w Pythonie oraz eksfiltracji danych konfiguracyjnych urządzenia i zahaszowanych poświadczeń na poziomie root. Około 560 skompromitowanych urządzeń nadal miało domyślne poświadczenia fabryczne, od których powaga luki nie zależy, ale które ułatwiają dalszą kompromitację.

Modele objęte problemem i poprawka

Zalecenie obejmuje modele GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48 i -48HPv2. Zyxel dostarczył poprawione oprogramowanie układowe dla dotkniętej linii w czerwcu 2026 r.; jego zainstalowanie jest jedyną pełną metodą zaradczą, ponieważ luka znajduje się w zarządzającym CGI przełącznika, a nie w ustawieniu, które można po prostu wyłączyć.

Co MSP powinni zrobić w tym tygodniu

• Zinwentaryzuj każdy przełącznik GS1900 w lokalizacjach klientów, odnotowując wersję oprogramowania układowego oraz to, czy dostęp zarządczy jest osiągalny spoza zaufanej sieci VLAN administratorów.
• Zainstaluj aktualizację oprogramowania układowego dostarczoną przez Zyxel, zamiast polegać wyłącznie na zabezpieczeniach na poziomie sieci.
• Ogranicz zarządzanie HTTP na tych przełącznikach do dedykowanej sieci VLAN administratorów i natychmiast zmień wszelkie domyślne poświadczenia fabryczne.
• Każde urządzenie, na którym stwierdzono już wykorzystanie luki, traktuj jako skompromitowane: zmień poświadczenia i odbuduj system ze znanego dobrego oprogramowania układowego, zamiast zakładać, że sama poprawka usunie aktywną infekcję.

Termin federalny to dolna granica, a nie górna — skoro aktywne wykorzystanie luki udokumentowano już wobec blisko 1000 urządzeń, każda organizacja korzystająca z przełączników GS1900 ma powód, aby załatać je w tym samym czasie.

Źródła: CISA — dodanie do katalogu KEV, 21 września 2026 r., The Hacker News — luka Zyxel aktywnie wykorzystywana.