Zyxel GS1900 : le correctif ne bloque pas le zero-day

Les commutateurs Zyxel GS1900 sont des switches manageables très répandus chez les petites entreprises. Selon les chercheurs de Binarly, le correctif publié le 23 octobre 2026 pour une faille déjà activement exploitée (CVE-2026-7273) ne corrige pas une seconde faiblesse du même mécanisme, répertoriée CVE-2026-107441, qui reste exploitable même après l'installation du correctif précédent. Zyxel attribue à cette nouvelle faille un score CVSS de 8,8 ; Binarly, qui l'a découverte, l'évalue à 9,8.

Qu'est-ce que la faille des commutateurs Zyxel GS1900 ?

Le micrologiciel des GS1900 stocke chaque paramètre d'une requête web d'administration dans une zone mémoire prévue pour 140 paramètres au maximum, sans vérifier la taille réelle de ce qui est envoyé. En soumettant un 140ᵉ paramètre surdimensionné, un attaquant écrase le compteur de paramètres : le paramètre suivant est alors écrit hors de cette zone et peut remplacer la fonction que le programme doit appeler par une commande choisie par l'attaquant. Selon l'avis de Zyxel, un attaquant présent sur le réseau local, sans identifiants, suffit à atteindre le service d'administration.

Pourquoi le correctif d'octobre ne suffit-il pas ?

Le correctif de juin 2026 (version 2.90 Patch 2), censé traiter CVE-2026-7273, ajoute bien une vérification du compteur de paramètres, mais seulement après la copie en mémoire qui provoque le dépassement. Résultat, selon Binarly : l'exploit fonctionne toujours sans modification contre les appareils mis à jour avec ce correctif. Le nouveau correctif, 2.90 Patch 3, publié le 23 octobre et documenté dans l'avis mis à jour de Zyxel, déplace cette vérification avant la copie et limite sa taille, ce qui ferme réellement la faille identifiée comme CVE-2026-107441.

À retenir : avoir appliqué le correctif de juin 2026 ne protège pas contre cette attaque. Seule la version Patch 3 (ou ultérieure) ferme la faille.

Quels modèles et quelles versions sont concernés ?

L'avis de Zyxel ne propose aucune solution de contournement pour les organisations qui ne peuvent pas mettre à jour immédiatement : la seule remédiation documentée est l'installation de Patch 3.

Une exploitation déjà confirmée sur la faille d'origine

La première faille, CVE-2026-7273, n'est pas théorique. GreyNoise a signalé le 21 septembre 2026 que des attaquants avaient exfiltré des données d'environ 996 commutateurs GS1900, dont 564 utilisaient encore les identifiants par défaut, lors d'une vague observée autour du 17 août. GreyNoise relie cette activité à un groupe parlant chinois que l'éditeur Acronis suit sous le nom Red Heron. La CISA a ajouté CVE-2026-7273 à son catalogue des vulnérabilités activement exploitées (KEV) le 21 septembre 2026, avec une échéance de correction au 24 septembre pour les agences fédérales américaines.

Binarly a retrouvé l'exploit le 17 septembre dans un répertoire ouvert d'un serveur qui servait aussi de serveur de commande pour un implant nommé JITTERLY, puis l'a signalé à Zyxel le 29 septembre. CVE-2026-107441 n'apparaît pas, à ce jour, au catalogue KEV de la CISA, et ni Zyxel ni les chercheurs n'indiquent si les commutateurs déjà compromis l'ont été via cette seconde faille plutôt que via la première.

Comment se protéger ?

• Mettez à jour vers 2.90 Patch 3 (ou une version ultérieure) sur chaque modèle GS1900 concerné : Patch 2 ne suffit pas, même s'il semblait traiter le problème.
• Retirez l'interface d'administration de toute exposition directe à Internet. Un outil comme le vérificateur d'adresse IP et de services exposés de ForenShield permet de contrôler rapidement ce qui répond depuis l'extérieur.
• Changez les identifiants par défaut sur tous les commutateurs GS1900 : GreyNoise a observé que plus de la moitié des appareils touchés les utilisaient encore.
• Segmentez le réseau de gestion des équipements réseau sur un VLAN dédié, inaccessible depuis les postes utilisateurs ; un calculateur de sous-réseaux aide à planifier cette séparation sans conflit d'adressage.
• Recherchez des signes de compromission antérieure (comptes administrateur inconnus, règles de journalisation désactivées, trafic sortant inhabituel) avant de considérer la mise à jour comme suffisante : ni Zyxel ni les chercheurs ne garantissent qu'elle efface un accès déjà obtenu.

L'avis de ForenShield

Priorisez tout commutateur GS1900 dont l'interface d'administration est accessible depuis Internet ou depuis un réseau non maîtrisé : c'est le scénario que décrit l'avis de Zyxel, et celui qui a permis la compromission des quelque 996 appareils recensés par GreyNoise. Un commutateur strictement interne, derrière un pare-feu correctement segmenté, reste à corriger mais peut suivre un calendrier moins pressant.

Côté détection, ne vous fiez pas à un numéro de version à jour : le cas Zyxel illustre qu'un correctif annoncé comme complet peut laisser le même vecteur ouvert. Recherchez plutôt des comportements, requêtes d'administration avec des paramètres inhabituellement longs ou nombreux, comptes ou règles créés hors fenêtre de maintenance connue, et connexions sortantes de l'équipement vers des hôtes qu'il n'a jamais contactés auparavant.

Le piège le plus fréquent dans ce dossier serait de confondre les deux failles : avoir traité CVE-2026-7273 en juin ne dit rien sur l'exposition à CVE-2026-107441, et inversement, l'absence de cette seconde référence dans le catalogue KEV de la CISA ne signifie pas qu'elle est sans risque, puisqu'un exploit fonctionnel existe déjà publiquement documenté. Après la mise à jour vers Patch 3, vérifiez les comptes administrateur, les règles d'accès à distance et les journaux disponibles sur une fenêtre couvrant au moins les semaines précédentes.

Points clés

• Zyxel a publié le 23 octobre 2026 un correctif (2.90 Patch 3) pour CVE-2026-107441, une faille (CVSS 8,8 selon Zyxel, 9,8 selon Binarly) que son précédent correctif de juin ne bloquait pas réellement.
• La faille permet à un attaquant du réseau local, sans identifiants, d'exécuter des commandes sur les commutateurs GS1900 via un dépassement de mémoire dans l'interface d'administration.
• La faille d'origine, CVE-2026-7273, est activement exploitée depuis au moins août 2026 et a permis la compromission d'environ 996 commutateurs, selon GreyNoise, qui relie l'activité au groupe Red Heron.
• Aucune solution de contournement n'est proposée par Zyxel : la seule remédiation est la mise à jour vers Patch 3 ou une version ultérieure.
• Une mise à jour ne garantit pas l'éviction d'un attaquant déjà présent : une vérification de compromission est recommandée après correctif.

Sources

• The Hacker News : Zyxel GS1900 Patch Fails to Block Zero-Day Exploit Allowing Root Command Execution
• Avis de sécurité officiel Zyxel pour les commutateurs GS1900