Zyxel GS1900: Juni-Patch half nicht, Angreifer nutzten Lücke CVE-2026-107441 aus
Zyxel warnt seit dem 3. November 2026 vor CVE-2026-107441 in zehn GS1900-Switches. Laut Binarly und BleepingComputer steckt diese Lücke hinter Angriffen auf fast 1.000 Geräte, die bisher CVE-2026-7273 zugeschrieben wurden. Auch der Juni-Patch schützt nicht, erst Firmware 2.90(xxxx.3)C0.
Zyxel hat am 3. November 2026 eine Sicherheitswarnung zu CVE-2026-107441 veröffentlicht. Die Lücke steckt im CGI-Programm der Weboberfläche von zehn Switch-Modellen der Reihe GS1900 und erlaubt einem nicht angemeldeten Angreifer, über eine präparierte HTTP-Anfrage Betriebssystembefehle auszuführen. Die korrigierte Firmware 2.90(xxxx.3)C0 steht seit dem 22. Oktober bereit.
Brisant ist die Vorgeschichte: Laut dem Sicherheitsunternehmen Binarly zielte das Exploit hinter Angriffen, die bisher einer im Juni gepatchten Schwachstelle zugeschrieben wurden, auf genau diese Lücke. Wer seine GS1900-Switches nach dem Juni-Update für sicher hielt, muss erneut aktualisieren, und zwar nicht erst im nächsten Wartungsfenster.
Was ist passiert?
Im Juni 2026 hatte Zyxel CVE-2026-7273 geschlossen, einen Pufferüberlauf in derselben Firmware. Das Unternehmen GreyNoise berichtete am 21. September über Angriffe auf GS1900-Switches durch einen Akteur namens Kapibala und ordnete sie CVE-2026-7273 zu. CISA nahm diese CVE am selben Tag in den Katalog aktiv ausgenutzter Lücken auf. Nach Angaben von GreyNoise, die BleepingComputer wiedergibt, waren 996 Geräte in 48 Ländern kompromittiert. Ein Skript sammelte dort Gerätekonfiguration, gehashte root-Zugangsdaten und Netzwerkinformationen.
Binarly fand auf Servern der Kampagne, der GreyNoise die Angreifer zuordnet, ein verschleiertes Python-Exploit für die GS1900-Reihe. Es enthielt Speicheradressen auch für die gegen CVE-2026-7273 gepatchte Firmware, etwa 2.90(AAHL.2)C0 der GS1900-24. Laut Binarly funktioniert das Exploit gegen diese Versionen ohne Änderung: Der Parameter-Parser in /cgi-bin/dispatcher.cgi prüfte ursprünglich weder die Länge der einzelnen Parameter noch ihre Anzahl. Der Juni-Patch ergänzte zwar Prüfungen des Zählers, die greifen laut Binarly aber erst, wenn das Exploit den Zähler bereits überschrieben hat. Binarly meldete das am 29. September an Zyxel, der Hersteller bestätigte am 11. Oktober und vergab die neue Nummer. Seit der Firmware vom 22. Oktober ist jeder Parameter auf 511 Byte begrenzt, und die Anzahl wird vor dem Kopieren geprüft.
Wer ist betroffen?
Betroffen sind laut Zyxel GS1900-8, GS1900-8HP, GS1900-10HP, GS1900-16, GS1900-24, GS1900-24E, GS1900-24EP, GS1900-24HPv2, GS1900-48 und GS1900-48HPv2, jeweils mit Firmware 2.90(xxxx.2)C0 und älter. Der Modellcode in Klammern unterscheidet sich je Gerät, bei der GS1900-24 etwa AAHL. Behoben ist die Lücke ab 2.90(xxxx.3)C0. Zyxel liefert Patches nur für Modelle innerhalb der Supportzeit für Schwachstellen. Nicht aufgeführte, noch verkaufte Produkte sind nach Herstellerangabe nicht betroffen.
Wie kritisch ist das?
Es handelt sich um Codeausführung ohne Anmeldung auf dem Switch. Zyxel beschreibt den Angreifer als Teilnehmer im lokalen Netz. Bei fast 1.000 Geräten in 48 Ländern liegt allerdings nahe, dass die Angreifer vor allem aus dem Internet erreichbare Verwaltungsoberflächen trafen. Ausdrücklich belegt ist das in den Quellen nicht. Eine CVSS-Bewertung nennt die Advisory nicht. Im KEV-Katalog der CISA steht bisher nur CVE-2026-7273, nicht die neue Nummer. Ungeklärt ist laut BleepingComputer, ob das Exploit gezielt für die gepatchten Versionen gebaut wurde. Binarly kündigt zudem an, einen eigenen Proof of Concept zu veröffentlichen. Danach dürfte die Hürde für weitere Angreifer sinken.
Was sollten Admins jetzt tun?
- Inventar: alle GS1900-Switches samt Modell und Firmware-Stand erfassen, auch Geräte in Außenstellen.
- Patchstand: Firmware 2.90(xxxx.3)C0 für das jeweilige Modell einspielen. Der Stand 2.90(xxxx.2)C0 aus dem Juni reicht nicht.
- Erreichbarkeit: Die Weboberfläche darf nicht aus dem Internet erreichbar sein. Verwaltung nur aus einem eigenen Management-VLAN zulassen.
- Kompromittierung prüfen: Geräte, deren Oberfläche seit August offen erreichbar war, als möglicherweise kompromittiert behandeln. Das Admin-Passwort ändern und die Konfiguration mit einer bekannten Sicherung vergleichen.
- Folgeschäden: Zugangsdaten, die in der Switch-Konfiguration stehen, etwa für RADIUS oder SNMP, austauschen.
Einordnung für Unternehmen
Smart-Managed-Switches wie die GS1900-Reihe stehen oft in kleinen Firmennetzen. Der Fall zeigt, dass ein eingespielter Patch und ein KEV-Eintrag nicht beweisen, dass die ausgenutzte Lücke wirklich geschlossen ist. Wo Angriffe auf ein Gerät bekannt sind, lohnt ein Blick in spätere Advisories desselben Herstellers. Unabhängig vom Patch gilt: Verwaltungsoberflächen von Netzwerkgeräten gehören in ein abgeschottetes Management-Netz.
Passende Anleitungen auf S-EDV
- VLANs verstehen und auf einem Managed Switch einrichten
- Zero-Trust-Netzwerksegmentierung im KMU: VLANs, Firewall-Regeln
