Betrifft Sie das?
- Betroffen: GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48 und -48HPv2 mit Firmware, die auf .2C0 endet, oder älter.
- Nicht betroffen, wenn: in Ihrem Netz kein GS1900 läuft. Zyxel hat nur Modelle gepatcht, die noch unterstützt werden, und erklärt nicht aufgeführte, noch erhältliche Produkte für nicht betroffen; ein älterer, nicht aufgeführter GS1900 bekommt keinen Patch.
Was tun?
- Heute: die Firmware für Ihr Modell installieren, die auf .3C0 endet (2.90 Patch 3), zum Beispiel 2.90(AAHL.3)C0 für den GS1900-24.
- Bis dahin: Zyxel nennt keinen Workaround. Der Exploit muss die Weboberfläche des Switches erreichen; deshalb sollte sie unserer Ansicht nach nur von den Rechnern der Administratoren aus erreichbar sein. Bei einem älteren GS1900 ohne Patch sollte das dauerhaft so bleiben.
- Der Hinweis sagt nicht, ob das Update einen bereits bestehenden Zugang eines Angreifers entfernt, und auch nicht, was zu prüfen ist. War die Weboberfläche eines Switches seit Mitte August von außerhalb Ihres Admin-Netzes erreichbar, würden wir seine Konfiguration und die Root-Zugangsdaten als offengelegt betrachten: nach dem Update das Admin-Passwort und alle in der Konfiguration gespeicherten Zugangsdaten ändern.
- Werkseitige Standard-Zugangsdaten ersetzen: 564 der 996 angegriffenen Switches nutzten sie noch.
Was wir wissen – und was nicht
- Laut GreyNoise luden die Angreifer ein Skript zur Datensammlung auf die Switches und nahmen Konfigurationen, gehashte Root-Zugangsdaten und Netzwerkinformationen mit.
- GreyNoise ordnete die Angriffe im August der Juni-Lücke CVE-2026-7273 zu, die CISA am 21. September in ihren Katalog ausgenutzter Lücken aufnahm. Binarly sagt, der von GreyNoise beschriebene Exploit entspreche dem, den es gefunden hat, und funktioniere unverändert gegen den Juni-Patch; das Unternehmen will bald einen Proof of Concept veröffentlichen.
- Ob die neue Lücke selbst ausgenutzt wurde, ist umstritten: CSO Online nennt sie eine Zero-Day-Lücke, die gegen die 996 Switches eingesetzt wurde; LavX News (unter Berufung auf The Hacker News) weist darauf hin, dass weder GreyNoise noch Binarly sagen, dass auf den angegriffenen Switches der Juni-Patch installiert war. Der CISA-Eintrag zur neuen CVE (3. November) nennt keine bekannte Ausnutzung.
- Zyxel bewertet die Lücke mit 8,8 und spricht von einem Angreifer „im LAN“; Binarly bewertet sie mit 9,8 und sagt, jeder Netzwerkzugang zum Verwaltungsdienst genüge.
- Der Bericht von GreyNoise sagt nicht, wie die Angreifer die Switches erreichten oder welche Firmware darauf lief.
Warum das wichtig ist
Switches schaut man sich nach einem Patch selten noch einmal an, und ihre Verwaltungsoberfläche hängt oft im selben Netz wie die Laptops aller Mitarbeitenden. Eine Konfiguration und Passwort-Hashes sind eine Karte Ihres Netzes. Wenn Sie das im Juni abgehakt haben, ist es immer noch offen.