Êtes-vous concerné ?
- Concernés : GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48 et -48HPv2 dont le firmware se termine par .2C0 ou est plus ancien.
- Vous n'êtes pas concerné si : aucun GS1900 ne tourne sur votre réseau. Zyxel n'a corrigé que les modèles encore pris en charge et indique que les produits encore commercialisés absents de la liste ne sont pas touchés ; un GS1900 plus ancien, absent de la liste, ne recevra pas de correctif.
Que faire
- Aujourd'hui : installez le firmware de votre modèle qui se termine par .3C0 (2.90 Patch 3), par exemple 2.90(AAHL.3)C0 pour le GS1900-24.
- En attendant : Zyxel n'indique aucune solution de contournement. L'exploit doit atteindre l'interface web d'administration du commutateur ; à notre avis, seuls les postes des administrateurs devraient donc pouvoir l'ouvrir. Pour un GS1900 plus ancien sans correctif, gardez cette restriction définitivement.
- Le bulletin ne dit pas si la mise à jour supprime un accès dont un attaquant disposerait déjà, ni ce qu'il faut vérifier. Si l'interface web d'un commutateur était accessible depuis l'extérieur de votre réseau d'administration depuis la mi-août, nous considérerions sa configuration et les identifiants root comme exposés : après la mise à jour, changez le mot de passe administrateur et tous les identifiants enregistrés dans la configuration.
- Remplacez les identifiants par défaut d'usine : 564 des 996 commutateurs piratés les utilisaient encore.
Ce que l'on sait – et ce que l'on ignore
- Selon GreyNoise, les attaquants ont téléchargé sur les commutateurs un script de collecte de données et ont récupéré les configurations, les identifiants root hachés et des informations sur le réseau.
- GreyNoise a attribué les attaques d'août à la faille de juin, CVE-2026-7273, que la CISA a ajoutée le 21 septembre à son catalogue des failles exploitées. Binarly affirme que l'exploit décrit par GreyNoise correspond à celui qu'il a trouvé et fonctionne sans modification contre le correctif de juin ; il prévoit de publier prochainement une preuve de concept.
- La question de savoir si la nouvelle faille elle-même a été exploitée est controversée : CSO Online parle d'une faille zero-day utilisée contre les 996 commutateurs ; LavX News (d'après The Hacker News) relève que ni GreyNoise ni Binarly n'affirment que les commutateurs attaqués avaient le correctif de juin. La fiche de la CISA sur la nouvelle CVE (3 novembre) ne mentionne aucune exploitation connue.
- Zyxel note la faille 8,8 et parle d'un attaquant « sur le LAN » ; Binarly la note 9,8 et estime que tout accès réseau au service d'administration suffit.
- Le rapport de GreyNoise ne dit pas comment les attaquants ont atteint les commutateurs ni quel firmware tournait sur ces derniers.
Pourquoi c'est important
Une fois corrigés, les commutateurs sont rarement réexaminés, et leur interface d'administration se trouve souvent sur le même réseau que les ordinateurs portables de tout le monde. Une configuration et des hachages de mots de passe forment une carte de votre réseau. Si vous avez considéré le problème comme réglé en juin, la faille est toujours ouverte.