Das Cybersecurity-Unternehmen „Binarly“ hat aufgedeckt, dass fast 1.000 Network-Switches der Serie „GS1900“ des Herstellers „Zyxel“ über eine zuvor unbekannte Sicherheitslücke des Typs „Zero-Day“ kompromittiert wurden. Diese Entdeckung korrigiert frühere Sicherheitsberichte, die die Angriffe der Ausnutzung einer bereits behobenen alten Schwachpunkt zugeschrieben hatten, was die Risiken der ausschließlichen Abhängigkeit von oberflächlichen Patches verdeutlicht, ohne die ausführbaren Codes der Geräte zu überprüfen.
Schwachstellendetails und Angriffsvektor
Die neue Schwachstelle ist unter der Kennung CVE-2026-107441 bekannt und erhielt im Rahmen des Common Vulnerability Scoring System (CVSS) einen Schweregrad von 8.8. Das Problem konzentriert sich auf einen Fehler vom Typ „Out-of-bounds Write“ (Schreiben außerhalb der Grenzen) innerhalb des CGI-Programms, das in die Firmware der Zyxel GS1900-Geräte integriert ist.
Den technischen Daten des Herstellers zufolge ermöglicht die Schwachstelle nicht authentifizierten Angreifern, sorgfältig präparierte HTTP-Anfragen zu senden, um Befehle direkt auf der Betriebssystemebene des Geräts auszuführen, ohne Administratorrechte zu benötigen. Dieses Sicherheitsproblem betrifft 10 verschiedene Modelle innerhalb der genannten Serie.
Korrektur der Angriffsraten und früherer Analysen
Das Sicherheitsforschungsinstitut „GreyNoise“ hatte die Angriffskampagne im vergangenen September beobachtet und sie der Ausnutzung einer früheren Schwachstelle mit der Kennung (CVE-2026-7273) zugeschrieben, für die Zyxel im Juni ein Sicherheitsupdate veröffentlicht hatte. Diese Angriffe wurden mit der bekannten chinesischen Bedrohungsgruppe „Red Heron“ in Verbindung gebracht, was die Cybersecurity and Infrastructure Security Agency (CISA) der USA dazu veranlasste, die alte Schwachstelle in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufzunehmen.
Jüngste Code-Analysen von Binarly bewiesen jedoch, dass Angreifer die neue Schwachstelle (CVE-2026-107441) nutzten, um Malware-Varianten von „Jitterly“ und „Sixzut“ zu verbreiten. Da die für die alte Schwachstelle angewendeten Sicherheitsupdates keine Behebung des von der neuen Schwachstelle betroffenen Codes enthielten, blieben die äußerlich geschützten Geräte anfällig für tatsächliche Angriffe.
Warum diese Nachricht wichtig ist
Diese Entwicklung verdeutlicht den fundamentalen Unterschied zwischen der Verfolgung offizieller Updates und der tatsächlichen Überprüfung des Binärcodes. Die Bedeutung verteilt sich auf folgende Punkte:
- Unzulänglichkeit der Abhängigkeit von Versionsnummern: Die Behebung einer bekannten Schwachstelle bedeutet nicht zwangsläufig den Schutz des Geräts, wenn der Angreifer eine nicht deklarierte Schwachstelle in derselben Komponente ausnutzt.
- Risiken der Zielsetzung von Infrastrukturen: Das Hacken von Network-Switches verschafft Angreifern einen strategischen Ausgangspunkt zur Kontrolle des Datenflusses und zur Beherrschung von Unternehmensnetzwerken.
- Zeitplan für die Behebung: Binarly meldete dem Hersteller die Schwachstelle am 29. September, und Zyxel veröffentlichte die Korrektur-Updates am 23. Oktober, bevor die offizielle Warnung am 3. November herausgegeben wurde.
Dieser Vorfall unterstreicht die Notwendigkeit, tiefere Prüfmechanismen für Quellcodes und Firmware einzuführen und sich nicht nur auf den Abgleich von Versionsnummern der Anbieter zu verlassen, um kritische Netzwerke zu sichern.