Zyxel a corrigé une vulnérabilité zero-day utilisée pour compromettre près de 1 000 switches réseau dans 48 pays. La faille, référencée CVE-2026-107441, permet à un attaquant non authentifié d’exécuter des commandes sur plusieurs modèles de la gamme GS1900.
Comment fonctionne la faille ?
Le problème se trouve dans l’interface web d’administration. Une requête HTTP spécialement construite peut provoquer une écriture hors limites en mémoire. L’attaquant peut alors détourner le fonctionnement du système et lancer des commandes sans disposer d’un compte valide.
Dix modèles GS1900 sont concernés. Zyxel a publié de nouveaux firmwares le 22 octobre, puis son avis de sécurité le 3 novembre 2026.
996 appareils compromis dans 48 pays
GreyNoise avait observé dès le 17 août une campagne attribuée à un groupe suivi sous le nom de Kapibala. Les attaquants ont compromis 996 équipements et récupéré des fichiers de configuration, des informations réseau ainsi que des empreintes d’identifiants root.
La campagne avait d’abord été associée à une vulnérabilité plus ancienne, CVE-2026-7273. L’analyse de Binarly a ensuite montré que l’exploit visait une seconde faille, encore inconnue et capable de fonctionner même sur des versions déjà corrigées contre le premier problème.
Pourquoi un switch compromis est dangereux
Un switch relie les appareils d’un réseau. S’il est pris sous contrôle, un attaquant peut collecter des informations sur l’architecture, préparer des déplacements vers d’autres systèmes, modifier la configuration ou perturber les communications. Les fichiers exportés peuvent également révéler des secrets réutilisables.
Que doivent faire les administrateurs ?
- identifier tous les switches GS1900 et vérifier leur modèle ;
- installer le dernier firmware publié par Zyxel ;
- ne pas exposer l’interface d’administration directement à Internet ;
- modifier les identifiants après la mise à jour ;
- examiner les configurations et journaux pour détecter une compromission antérieure ;
- segmenter le réseau de gestion.
