Hackers Exploit Zyxel GS1900 Zero-Day Vulnerability to Compromise Nearly 1,000 Network Switches
2026/11/05 gbhackers — Zyxel GS1900 スイッチに対して、認証前のリモートコード実行 (RCE) を可能にするエクスプロイトが使用され、約 1,000台のデバイスが侵害されている。この攻撃は、Zyxel が脆弱性を修正する前に行われた。Binarly の研究者が明らかにしたのは、この攻撃で悪用された脆弱性が、Zyxel が 6月に修正したものではなく、それまで知られていなかった別の脆弱性だったという点である。
GreyNoise によると、8月17日ころに攻撃者は、48カ国に存在する 996台の GS1900 スイッチを侵害した。窃取されたのは、コンフィグ情報／ハッシュ化された root クレデンシャル／ネットワーク情報などである。GreyNoise は、この攻撃活動を CVE-2026-7273 に関連付け、その後に CISA は Known Exploited Vulnerabilities (KEV) カタログに追加した。
Zyxel GS1900 のゼロデイ脆弱性
Binarly が入手したのは、実際に捕捉されたエクスプロイト gs1900_bundle.tar.gz である。このアーカイブには、PyArmor により難読化された exp.py に加えて、pytransform ランタイム・ライブラリとコンパイル済みバイトコードが含まれている。このスクリプトは Python 3.10 上で動作し、コマンドライン・インターフェイスを備えている。
このエクスプロイトが標的とするのは、MIPS ベースの GS1900 スイッチに存在する /cgi-bin/dispatcher.cgi である。攻撃には 2つのモードが用意されている。
- GOT モード：Global Offset Table (GOT) を決定論的に上書きする方式で、1回のリクエストで実行できる。
- Stack モード：ASLR をブルートフォースで突破する方式で、平均約 2,048回の試行を必要とする。
攻撃者にとって必要なことは、libc のベースアドレス／reqParameters のアドレス／strcmp の GOT エントリ／system() のオフセットを指定することである。スクリプトでは、コマンド内の &／=／改行／ヌルバイトの使用が禁止されている。実行例には、BusyBox を使用した Telnet シェルの起動が含まれている。
Binarly のアドバイザリ BRLY-2026-057 では、脆弱性の根本原因が説明されている。CGI パーサーは、リクエストパラメータをグローバルオブジェクト reqParameters に格納する。このオブジェクトには、それぞれ 1,024バイトのエントリが 140個存在し、その直後にカウンタ g_count が配置されている。問題は、エントリ数を確認する前にデータのコピーが実行されることである。過大な値が渡されるとカウンタが破壊される可能性があり、カウンタが負の値になると、攻撃者はバッファの先頭より前のメモリ領域に書き込みを行い、関数ポインタを乗っ取ることができる。
Zyxel は 6月の修正でエントリ数のチェックを追加したが、安全ではないコピー処理は依然としてチェックより先に実行されていた。 9月28日の時点で Binarly は、修正済みとされていた 10種類の .2 ファームウェアで、引き続き悪用が可能であることを確認した。Zyxel は 10月11日に新たな脆弱性を確認し、10月22日に修正版を提供し、その後の 11月3日に脆弱性 CVE-2026-107441 のアドバイザリを公開した。
Binarly は、この脆弱性を CVSS 9.8 (Critical) と評価している。Binarly の説明では、リモートの攻撃者が root 権限でコマンドを実行できるとされている一方で、Zyxel は LAN 上の攻撃者による悪用を想定している。影響を受けるのは、ファームウェア 2.90(….2)C0 以前を実行する GS1900 シリーズの 10機種であり、修正版は 2.90(….3)C0 である。
同じ脆弱なパーサーは、httprestorecfg.cgi と httpupload.cgi にも存在している。GreyNoise は 996台の被害を CVE-2026-7273 に関連付けて報告しているが、そのうち何台が、新たに特定された脆弱性により侵害されたのかは明らかになっていない。
Zyxel の修正版ファームウェアは、同社のコミュニティ向けファームウェア・リリースノートに掲載されている。Admin に求められるのは、すべての GS1900 スイッチを .3 リリースへアップグレードすることである。また、Web 管理インターフェイスをインターネットから切り離し、専用の管理ネットワークからのみアクセスできるよう制限するとともに、デフォルトのクレデンシャルを変更する必要がある。インターネットに公開されていたスイッチについては、コンフィグの変更履歴を確認し、特権アカウントのクレデンシャルをローテーションすることが求められる。
この記事は、ネットワーク機器である Zyxel GS1900 に存在する深刻な不具合が CISA KEV カタログに追加された件と、推奨される防御手順について解説するものです。パラメータ処理手順における事前確認の欠如や境界チェック処理の順序不備が背景に存在します。影響として、遠隔からの最高権限コマンド実行／構成ファイルの持ち出し／管理用認証情報の露出が生じる恐れがあります。対応策として、最新ファームウェアへの更新／管理画面のインターネット公開停止／運用鍵情報の再設定が求められます。 (対象 CVE：CVE-2026-7273／CVE-2026-107441)
You must be logged in to post a comment.