Zyxel GS1900'deki sıfırıncı gün açığı saldırılarda kullanıldı, ilk yama işe yaramamıştı

Ağ cihazı üreticisi Zyxel, 3 Kasım’da yayımladığı danışma notunda GS1900 serisi switch’lerin yazılımındaki CVE-2026-107441 açığını duyurdu. Zyxel’e göre switch’in CGI programındaki sınır dışı yazma (out-of-bounds write) açığı, yerel ağdaki ve giriş yapmamış bir saldırganın özel hazırlanmış bir HTTP isteğiyle işletim sistemi komutları çalıştırmasına izin verebiliyor. Açığın CVSS 3.1 puanı 8.8. Açığı bildiren güvenlik şirketi Binarly aynı gün yayımladığı raporda, açığın saldırılarda sıfırıncı gün açığı olarak kullanıldığını açıkladı. Zyxel’in danışma notunda saldırılara dair bir bilgi yok.

Saldırılar ve yanlış eşleştirilen açık

Zyxel, aynı switch serisindeki CVE-2026-7273 açığını 16 Haziran’da kapatmıştı. BleepingComputer’a göre güvenlik şirketi GreyNoise, Ağustos ortasından itibaren Çince konuşan olduğundan şüphelenilen ve Kapibala olarak izlediği bir grubun Zyxel switch’lerine saldırdığını gözlemledi. GreyNoise’a göre saldırganlar 48 ülkede 996 cihaza girdi ve cihazların yapılandırmasını, root parolasının özetini ve ağ bilgilerini toplayan bir betik çalıştırdı. GreyNoise 21 Eylül’de yayımladığı raporda saldırıları CVE-2026-7273’e bağladı, CISA da aynı gün bu açığı saldırılarda kullanılan açıklar listesine (KEV) ekledi.

Binarly’ye göre şirket, güvenlik şirketi Acronis’in Eylül’de raporladığı, Gitea sunucularına saldıran ve JITTERLY arka kapısıyla SIXZUT rootkit’ini kullanan grubun altyapısını incelerken, saldırganların bir sunucusunda herkese açık bir klasörde Zyxel GS1900 için hazırlanmış bir istismar buldu. Binarly istismarın, CVE-2026-7273 yamasını almış yazılım sürümlerini de hedef alacak biçimde yapılandırıldığını gördü. Şirket 28 Eylül’de istismarın bu yamayı içeren on yazılım sürümünün hepsinde çalıştığını doğruladı ve 29 Eylül’de Zyxel’e bildirdi. Zyxel 11 Ekim’de yeni açığı doğruladı, 22 Ekim’de düzeltmeyi yayımladı ve 3 Kasım’da danışma notunu yayımladı.

Binarly’ye göre CVE-2026-7273 yaması bazı kontroller ekliyordu ama istismarın kullandığı yolu kapatmıyordu. İstismar, switch’in web sunucusundaki dispatcher.cgi programına çok sayıda parametre içeren bir istek göndererek bu kontrolleri aşıyor ve belleğe yazıp komut çalıştırıyor. Yeni yama her parametrenin kopyalanacağı boyutu sınırlıyor ve parametre sayısını veriyi belleğe kopyalamadan önce kontrol ediyor. Binarly, istismarın büyük olasılıkla bir dil modeliyle yazıldığını değerlendiriyor. Şirkete göre saldırılar başka bir açığa bağlandığı ve o açığın yaması işe yaramadığı için, KEV uyarısı üzerine yapılan güncellemeler cihazları bu saldırılara karşı korumadı.

Etkilenen modeller

Zyxel’e göre etkilenen modeller ve düzeltilmiş yazılım sürümleri:

• GS1900-8: 2.90(AAHH.3)C0
• GS1900-8HP: 2.90(AAHI.3)C0
• GS1900-10HP: 2.90(AAZI.3)C0
• GS1900-16: 2.90(AAHJ.3)C0
• GS1900-24: 2.90(AAHL.3)C0
• GS1900-24E: 2.90(AAHK.3)C0
• GS1900-24EP: 2.90(ABTO.3)C0
• GS1900-24HPv2: 2.90(ABTP.3)C0
• GS1900-48: 2.90(AAHN.3)C0
• GS1900-48HPv2: 2.90(ABTQ.3)C0

Bu modellerin .2 ile biten sürümleri ve öncesi etkileniyor. Zyxel’e göre listede olmayan ve satışta olan ürünler etkilenmiyor. Danışma notu, düzeltmenin yalnızca açık desteği süren modeller için yayımlandığını belirtiyor.

Önerilen önlemler

Zyxel, GS1900 kullanıcılarının düzeltilmiş yazılım sürümlerini kurmasını öneriyor. CVE-2026-7273 için Haziran’da yayımlanan güncellemeyi kurmuş switch’ler de bu açıktan etkileniyor. Binarly, raporunda JITTERLY ve SIXZUT örneklerine ait özetleri ve tespit kurallarını paylaştı.