CISA beordrar federal åtgärd för utnyttjad Zyxel-switchsårbarhet senast den 24 september

CISA lade den 21 september 2026 till CVE-2026-7273, ett stackbaserat buffertspill i CGI-komponenten i Zyxel GS1900-seriens switchar, i sin katalog över kända utnyttjade sårbarheter (Known Exploited Vulnerabilities). Sårbarheten, med CVSS 8.8, låter en oautentiserad angripare på det lokala nätverket skicka en specialutformad HTTP-förfrågan för att köra operativsystemskommandon på switchen. Enligt Binding Operational Directive 26-04 måste amerikanska federala civila myndigheter åtgärda den senast den 24 september 2026 — en tidsfrist som gäller federala myndigheter, inte alla organisationer som kör den berörda hårdvaran.

Redan under aktivt utnyttjande

Tillägget i CISA:s katalog följer på rapporter om att en misstänkt kinesisktalande aktör har utnyttjat sårbarheten sedan den 17 augusti 2026 och komprometterat nästan 1 000 Zyxel-switchar i 48 länder, däribland USA, Italien, Taiwan och Frankrike. Enligt rapporteringen använde angriparen exploiten för att köra en TFTP-klient, hämta ett obfuskerat Python-insamlingsskript och exfiltrera enhetskonfigurationsdata samt hashade root-autentiseringsuppgifter. Omkring 560 av de komprometterade enheterna hade enligt uppgift fortfarande fabriksstandardlösenord, vilket sårbarhetens allvarlighetsgrad inte är beroende av men som gör efterföljande intrång enklare.

Berörda modeller och åtgärd

Rådgivningen omfattar modellerna GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48 och -48HPv2. Zyxel levererade korrigerad firmware för den berörda serien i juni 2026; att tillämpa den är den enda fullständiga åtgärden, eftersom sårbarheten finns i switchens hanterings-CGI snarare än i en inställning som enkelt kan inaktiveras.

Vad MSP:er bör göra den här veckan

• Inventera varje GS1900-switch på kundanläggningar och notera firmwareversion samt om hanteringsåtkomst är nåbar utanför ett betrott admin-VLAN.
• Tillämpa den Zyxel-levererade firmwareuppdateringen i stället för att enbart förlita sig på nätverksbaserade begränsningar.
• Begränsa HTTP-hantering på dessa switchar till ett dedikerat admin-VLAN och ändra alla fabriksstandardlösenord omedelbart.
• Behandla alla enheter som redan visat sig vara utnyttjade som komprometterade: rotera autentiseringsuppgifter och återställ från känd bra firmware i stället för att anta att en patch ensam rensar en aktiv infektion.

Den federala tidsfristen är ett golv, inte ett tak — med aktivt utnyttjande redan dokumenterat mot nästan 1 000 enheter har alla organisationer som kör GS1900-switchar anledning att patcha enligt samma tidplan.

Källor: CISA — tillägg till KEV-katalogen, 21 september 2026, The Hacker News — Zyxel-sårbarhet under aktivt utnyttjande.