Týká se vás to?
- Týká se: GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48 a -48HPv2 s firmwarem končícím na .2C0 nebo starším.
- Netýká se vás, pokud: ve vaší síti žádný GS1900 neběží. Zyxel opravil jen modely, které ještě mají podporu, a o nevyjmenovaných výrobcích, které jsou stále v prodeji, říká, že dotčené nejsou; starší nevyjmenovaný GS1900 opravu nedostane.
Co udělat
- Dnes: nahrajte firmware pro svůj model končící na .3C0 (2.90 Patch 3), například 2.90(AAHL.3)C0 pro GS1900-24.
- Do té doby: Zyxel žádné náhradní opatření neuvádí. Exploit potřebuje dosáhnout na webovou správu switche, takže by k ní podle nás měly mít přístup jen počítače správců. U staršího GS1900 bez opravy to tak nechte natrvalo.
- Bulletin neříká, zda aktualizace odstraní přístup, který už útočník má, ani co zkontrolovat. Pokud byla webová správa switche od poloviny srpna dostupná i mimo vaši správcovskou síť, považovali bychom jeho konfiguraci a přihlašovací údaje účtu root za vyzrazené: po aktualizaci změňte heslo správce a všechny přihlašovací údaje uložené v konfiguraci.
- Změňte výchozí přihlašovací údaje z výroby: mělo je stále 564 z 996 napadených switchů.
Co víme – a co ne
- Podle GreyNoise útočníci stáhli do switchů skript na sběr dat a odnesli konfigurace, hashe přihlašovacích údajů účtu root a informace o síti.
- GreyNoise spojil srpnové útoky s červnovou chybou CVE-2026-7273, kterou CISA 21. září zařadila do katalogu zneužívaných chyb. Binarly uvádí, že exploit popsaný GreyNoise odpovídá tomu, který našel, a že beze změny funguje i na červnové opravě; brzy chce zveřejnit ukázkový exploit (proof of concept).
- Zda byla zneužita přímo nová chyba, je sporné: CSO Online ji označuje za zero-day použitý proti 996 switchům; LavX News (podle The Hacker News) upozorňuje, že GreyNoise ani Binarly neříkají, že napadené switche měly červnovou opravu. Záznam CISA k novému CVE (3. listopadu) žádné známé zneužití neuvádí.
- Zyxel chybu hodnotí 8,8 a mluví o útočníkovi „z LAN“; Binarly ji hodnotí 9,8 a podle něj stačí jakýkoli síťový přístup ke službě správy.
- Zpráva GreyNoise neříká, jak se útočníci ke switchům dostali ani jaký firmware na nich běžel.
Proč na tom záleží
Na switche se po opravě málokdo znovu podívá a jejich správa často visí ve stejné síti jako notebooky všech zaměstnanců. Konfigurace a hashe hesel jsou mapa vaší sítě. Pokud jste si to v červnu odškrtli, pořád je to otevřené.