Хакеры взломали 996 сетевых коммутаторов Zyxel в 48 странах и похитили конфигурации устройств вместе с учётными данными. Самое неприятное выяснилось позже. Атаки проходили даже через защиту, которую производитель выпустил ещё летом.
Под удар попали десять моделей серии GS1900. Злоумышленники использовали ранее неизвестную уязвимость CVE-2026-107441, позволяющую выполнять системные команды без авторизации. Ошибка связана с записью данных за пределами выделенной памяти в веб-интерфейсе управления. Для атаки достаточно сетевого доступа к интерфейсу и специально подготовленного HTTP-запроса.
Первые признаки массовых взломов специалисты GreyNoise заметили примерно 17 августа 2026 года. За операцией стоял предполагаемый китайскоязычный злоумышленник Kapibala, связанный с кампанией Red Heron. После проникновения на коммутаторы запускался скрипт, собиравший сетевые настройки, конфигурационные файлы и хеши паролей root. Всего исследователи зафиксировали компрометацию 996 устройств в 48 странах.
Первоначально атаки связали с другой уязвимостью, CVE-2026-7273. Zyxel устранила её ещё 16 июня, закрыв переполнение буфера в тех же коммутаторах. После сентябрьского отчёта GreyNoise американское агентство CISA внесло ошибку в каталог активно эксплуатируемых уязвимостей. Однако установленное обновление не останавливало обнаруженный способ взлома.
Разобраться помогли исследователи Binarly. Изучая инфраструктуру Red Heron, связанную с бэкдором JITTERLY и руткитом SIXZUT, специалисты обнаружили открытый архив с замаскированным эксплойтом на Python. Программа проверяла версии прошивок, причём особое внимание уделяла сборкам с уже установленным июньским исправлением. Такая проверка заставила исследователей усомниться в первоначальном диагнозе.
28 сентября Binarly подтвердила работоспособность эксплойта против всех десяти исправленных сборок. Выяснилось, что июньский патч добавил проверки против переполнения буфера, но атакующий мог повредить счётчик параметров до проверки его значения. Ошибка позволяла перезаписывать память и запускать команды без пароля. Дополнительную роль играла недостаточная проверка длины HTTP-параметров.
29 сентября исследователи передали результаты Zyxel. Производитель подтвердил новую уязвимость 11 октября и выпустил исправления 22 октября. В официальном бюллетене от 3 ноября перечислены затронутые модели, включая GS1900-8, GS1900-24 и GS1900-48. Для них предназначены прошивки ветки 2.90 с окончанием номера сборки .3 вместо .2.
Новый патч ограничивает размеры параметров и проверяет их количество до копирования данных в память. Пока неизвестно, создавали ли злоумышленники эксплойт специально для обхода июньской защиты или использовали связанную ошибку, которую прежнее исправление не затронуло. Владельцам GS1900 рекомендуется установить последние прошивки и проверить устройства на признаки компрометации.
Для Zyxel подобные инциденты уже случались. Ранее исследователи обнаруживали опасную уязвимость в шлюзах ATP и USG, позволявшую выполнять команды через механизм динамического DNS. В другом случае производитель предупредил об активно эксплуатируемых ошибках в устаревших маршрутизаторах, для которых выпускать патчи больше не планировал.
История с GS1900 показывает ещё одну проблему. Наличие установленного обновления само по себе не гарантирует защиты от действующей атаки. Специалистам Binarly пришлось изучить реальный эксплойт, чтобы установить причину взломов и обнаружить ошибку, пропущенную при первоначальном расследовании.