Zyxel corrige vulnerabilidade zero-day usada para invadir quase mil switches de rede

5 de Novembro de 2026

A Zyxel corrigiu uma vulnerabilidade zero-day em switches da série GS1900, explorada por hackers para comprometer quase 1.000 dispositivos em todo o mundo e roubar arquivos de configuração e credenciais.

Identificada como CVE-2026-107441 , a falha permite gravar dados fora dos limites da memória na interface de gerenciamento web dos switches. Um invasor sem autenticação, mas com acesso à rede, pode executar comandos no sistema operacional por meio de solicitações HTTP especialmente elaboradas.

A vulnerabilidade afeta dez modelos de switches GS1900. A Zyxel lançou atualizações de segurança em 22 de outubro e publicou um aviso de segurança em 3 de novembro.

Inicialmente, porém, a falha foi confundida com uma vulnerabilidade mais antiga, que a Zyxel já havia corrigido meses antes do início dos ataques.

Em 16 de junho de 2026, a empresa lançou atualizações de segurança para corrigir a CVE-2026-7273 , uma vulnerabilidade de estouro de buffer anterior à autenticação que afetava os mesmos switches GS1900.

Por volta de 17 de agosto, a empresa de cibersegurança GreyNoise observou um provável agente de ameaça de língua chinesa, identificado como Kapibala, explorando switches da Zyxel. Segundo a empresa, os invasores comprometeram 996 dispositivos em 48 países.

Os invasores exploraram a falha para executar comandos remotamente e baixar um script que coletava configurações dos dispositivos, credenciais de root armazenadas como hashes e informações de rede.

A GreyNoise associou Kapibala à campanha de invasão Red Heron. Anteriormente, a Acronis havia informado que a campanha explorava uma vulnerabilidade crítica no serviço Git auto-hospedado Gitea.

Ao divulgar a campanha, em 21 de setembro, a GreyNoise atribuiu os ataques à CVE-2026-7273 , vulnerabilidade que a Zyxel havia corrigido em junho.

No mesmo dia, a CISA incluiu a CVE-2026-7273 em seu catálogo de vulnerabilidades sabidamente exploradas e exigiu que órgãos federais corrigissem a falha.

Pesquisadores da Binarly, empresa especializada em segurança de firmware, descobriram, no entanto, que o exploit usado nos ataques tinha como alvo outra vulnerabilidade, até então desconhecida e ainda sem correção.

Ao investigar a infraestrutura da campanha Red Heron, associada ao backdoor JITTERLY e ao rootkit SIXZUT, os pesquisadores da Binarly encontraram um arquivo compactado exposto. Nele havia um exploit em Python, com código ofuscado, direcionado aos switches Zyxel GS1900.

A análise mostrou que o exploit verificava especificamente se o firmware estava em versões corrigidas para a CVE-2026-7273 , o que indica que foi desenvolvido ou atualizado para atacar essas versões.

Em 28 de setembro, a Binarly confirmou que o exploit ainda funcionava nas dez versões de firmware corrigidas para a CVE-2026-7273 .

Os pesquisadores concluíram que a atualização de segurança anterior havia acrescentado verificações para impedir um estouro de buffer. No entanto, os invasores conseguiam contorná-las ao corromper um contador de parâmetros antes de sua validação.

Com isso, o exploit podia sobrescrever a memória e executar comandos sem autenticação, inclusive em switches que já haviam recebido as atualizações de segurança anteriores.

A Binarly comunicou suas descobertas à Zyxel em 29 de setembro. A fabricante confirmou a nova vulnerabilidade em 11 de outubro e atribuiu a ela o identificador CVE-2026-107441 .

A Zyxel classificou o problema como uma falha distinta porque o exploit também tirava proveito da ausência de validação do comprimento dos parâmetros HTTP.

Em 22 de outubro, a Zyxel lançou novas atualizações de firmware que limitam o tamanho dos parâmetros e validam sua quantidade antes de copiar dados para a memória, impedindo a técnica de exploração.

Embora o exploit encontrado tivesse como alvo específico versões de firmware corrigidas para a CVE-2026-7273 , ainda não está claro se foi desenvolvido deliberadamente para contornar essas atualizações ou se explorava uma vulnerabilidade relacionada que as correções anteriores não resolveram.

Administradores de switches Zyxel GS1900 afetados devem instalar as atualizações de firmware mais recentes para se proteger contra a CVE-2026-107441 .

Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...