Zyxel GS1900 Switch Schwachstelle: Patch half nicht

Eine Zyxel GS1900 Switch Schwachstelle zeigt, warum „gepatcht“ in der Asset-Liste noch kein Beweis für Sicherheit ist: Switches mit dem Juni-Fix blieben für den Exploit offen, den Angreifer tatsächlich einsetzten. Binarly hat die Angriffe auf eine zweite Lücke zurückgeführt, CVE-2026-107441 (CVSS 8.8 laut SecurityWeek, 9.8 laut Binarly). Zyxel hat sie am 22. Oktober mit der Firmware 2.90 Patch 3 behoben und am 3. November ein Advisory veröffentlicht.

Was ist passiert bei der Zyxel GS1900 Switch Schwachstelle

Im Juni hat Zyxel mit der Firmware 2.90 Patch 2 die Lücke CVE-2026-7273 geschlossen, einen Stack-basierten Pufferüberlauf in der Weboberfläche der GS1900-Switches. Am 21. September berichtete GreyNoise, ein chinesischsprachiger Angreifer habe etwa am 17. August per Exploit Konfigurationsdaten, Netzwerkdetails und gehashte Root-Zugangsdaten von 996 dieser Switches in 48 Ländern abgegriffen. Laut GreyNoise liefen 564 davon noch mit den Werkseinstellungen für die Zugangsdaten. Die CISA nahm CVE-2026-7273 am selben Tag in den Known-Exploited-Vulnerabilities-Katalog auf.

Binarly fand anschließend den Exploit des Angreifers auf dessen eigener Infrastruktur und testete ihn. Er lieferte weiterhin nicht authentifizierte Befehlsausführung auf allen zehn Firmware-Ständen, die den Juni-Fix enthielten, weil er einen anderen Fehler anspricht: einen Out-of-Bounds-Write im CGI-Programm der Weboberfläche. Binarly meldete ihn am 29. September an Zyxel, und Zyxel bestätigte ihn am 11. Oktober. Binarly gibt an, den Exploit auch auf echter Hardware getestet zu haben. Stand 6. November hatte Binarly einen minimierten Proof of Concept angekündigt, ihn aber noch nicht veröffentlicht. SecurityWeek berichtet unter Berufung auf Binarly, die Angriffe seien mit dieser bis dahin unbekannten Lücke geführt worden.

Zyxels Advisory nennt zehn Modelle, von GS1900-8 bis GS1900-48HPv2. Betroffen ist jeder Stand bis 2.90(xxxx.2)C0, behoben wird die Lücke im passenden Build 2.90(xxxx.3)C0. Zyxel beschreibt den Angreifer als nicht authentifiziert und im LAN, mit einer manipulierten HTTP-Anfrage; Binarlys Advisory beschreibt einen Angreifer aus der Ferne und Befehlsausführung mit Root-Rechten. Stand 6. November führt der CISA-Katalog CVE-2026-7273, aber nicht CVE-2026-107441.

Warum das wichtig ist

Der GS1900 ist ein Switch für kleine Unternehmen und Filialen, wie er in Büros, Läden und Hotels steht und selten in einem Patch-Kalender auftaucht. Die abgegriffenen Daten sind eine Karte des Netzwerks plus Passwort-Hashes, die Angreifer offline knacken und anderswo wiederverwenden können. Annahme: Die meisten mittelständischen Unternehmen führen Versionsstände für Server und Firewalls, aber nicht für Switch-Firmware.

Dazu kommt ein Audit-Problem. Ein Inventar mit „Patch 2 installiert“ beantwortet die Frage nach der CVE aus den Nachrichten, nicht die Frage nach dem Weg der Angreifer. NIS2-pflichtige Organisationen sollen Schwachstellen in Netzwerkgeräten behandeln, und ein geschlossenes Ticket zur falschen Lücke besteht im Audit schlecht. Dasselbe Muster bei Edge-Geräten haben wir diesen Monat in den Beiträgen zu Cisco ASA und FTD und Synology NAS beschrieben.

Was Sie jetzt tun sollten

1. Alle GS1900-Switches finden, auch in Filialen und bei Dienstleistern verwaltete, und die Firmware-Version auslesen. Auf den Build 2.90 Patch 3 für Ihr Modell aktualisieren (die Versionsangabe endet auf .3)C0). Patch 2 reicht nicht.
2. Die Weboberfläche nicht ins Internet und nicht in nicht vertrauenswürdige Segmente legen, sondern in ein Management-VLAN. Alle Werkseinstellungen für Zugangsdaten ändern.
3. Lief ein Switch mit Patch 2 oder älter, während seine Verwaltungsoberfläche erreichbar war: Admin-Zugangsdaten und anderswo wiederverwendete Passwörter ändern und die Konfiguration mit der letzten bekannten guten Kopie auf unbekannte Konten oder Änderungen vergleichen.
4. Netzwerk-Logs auf unerwartete ausgehende Verbindungen von Switches prüfen. Binarly nennt Hashes und Command-and-Control-Adressen der beteiligten Malware; Zyxels Advisory nennt keine Indikatoren für diese Lücke.

DIESEC Einschätzung

Wir behandeln Netzwerkgeräte so lange als exponiert, bis der Fix für den tatsächlich ausgenutzten Weg bestätigt ist, nicht nur für die CVE aus den Nachrichten. Binarly kam zu seinem Ergebnis, indem es die Firmware selbst testete, was für die meisten Teams nicht machbar ist. Praktisches Minimum ist daher ein Firmware-Inventar mit exaktem Build-Stand und eine Erreichbarkeitsprüfung für jede Verwaltungsoberfläche.

Nicht sicher, welche Ihrer Switches einen angreifbaren Build laufen haben? Kontaktieren Sie DIESEC für eine Firmware- und Expositionsprüfung Ihrer Netzwerkgeräte.

Quellen: Zyxel Advisory | SecurityWeek | Help Net Security | Help Net Security (September) | CISA KEV-Katalog
Veröffentlicht: 2026-11-09 | Kategorie: Tägliche News | ~4 Min. Lesezeit