Специалисты компании Binarly выяснили, что июньский патч для коммутаторов Zyxel GS1900 не защищал от эксплоита, который хакеры использовали для взлома почти 1000 устройств. В итоге злоумышленники задействовали в атаках новую 0-day-уязвимость, позволявшую без аутентификации выполнять команды с правами root.

Исследователи сообщают, что новая уязвимость получила идентификатор CVE-2026-107441 и затрагивает десять моделей коммутаторов серии GS1900. Баг представляет собой ошибку записи за пределами выделенного буфера (out-of-bounds write) в компоненте, который обрабатывает запросы к веб-интерфейсу управления устройством. Причем для эксплуатации уязвимости атакующему не требуется аутентификация — достаточно иметь сетевой доступ к веб-интерфейсу коммутатора и отправить специально подготовленный HTTP-запрос.

Инженеры Zyxel оценили серьезность этой проблемы в 8,8 балла по шкале CVSS, однако специалисты Binarly присвоили уязвимости оценку в 9,8 балла.

При этом CVE-2026-107441 оказалась тесно связана с другой проблемой. Так, еще в июне 2026 года разработчики Zyxel исправили уязвимость CVE-2026-7273, выпустив обновленную прошивку 2.90 Patch 2. Исправленный тогда баг тоже был связан с механизмом обработки HTTP-параметров и отсутствием проверки их количества.

Вскоре аналитики компании GreyNoise предупредили, что наблюдают атаки на коммутаторы серии GS1900, и хакеры уже скомпрометировали 996 устройств в 48 странах. Атакующие собирали со взломанных девайсов конфигурации, хеши учетных данных root и информацию о сетях.

Как выяснилось теперь, июньское исправление оказалось неполным. Дело в том, что тогда разработчики добавили проверку количества параметров, но не ограничили размер каждого из них, а сама проверка выполнялась уже после копирования данных в память.

Изначально эксперты GreyNoise связывали эти атаки именно с багом CVE-2026-7273, однако опубликованное теперь исследование Binarly показало, что атакующие продолжили эксплуатировать проблему после выхода патча.

Специалисты Binarly рассказывают, что 17 сентября обнаружили написанный на Python эксплоит для коммутаторов Zyxel на сервере, связанном с инфраструктурой бэкдора JITTERLY, руткита SIXZUT и вредоносной кампанией Red Heron. Изучение этого эксплоита позволило обнаружить ошибку в CGI-компоненте прошивки Zyxel GS1900, который обрабатывает HTTP-запросы к веб-интерфейсу коммутатора.

Для параметров таких запросов программа использовала область памяти, рассчитанную максимум на 140 элементов, однако не ограничивала размер каждого из них. Эксплоит отправлял чрезмерно большой 140-й параметр, который выходил за пределы выделенной памяти и в результате перезаписывал счетчик параметров. Так как следующий параметр записывался уже за пределами границ буфера, это позволяло атакующим добиться выполнения произвольной команды с правами root.

Хотя в прошивках Patch 2 разработчики добавили проверку количества обработанных параметров, она выполнялась слишком поздно — после копирования данных в память. Поэтому эксплоит злоумышленников успевал повредить счетчик до срабатывания проверки и продолжал работать даже после выхода исправлений.

Специалисты Binarly уведомили разработчиков Zyxel о найденной проблеме 29 сентября, после чего в компании подтвердили наличие отдельной уязвимости, которая получила собственный идентификатор CVE-2026-107441.

Для устранения новой уязвимости разработчики снова изменили механизм обработки HTTP-параметров: теперь их количество проверяется до записи данных в память, а размер каждого параметра ограничен. Исправление вошло в состав прошивки 2.90 Patch 3, выпущенной в конце октября.