La empresa de ciberseguridad "Binarly" reveló que cerca de 1000 conmutadores de red (Switches) de la serie "GS1900", fabricados por "Zyxel", sufrieron una brecha de seguridad a través de una vulnerabilidad de tipo día cero (Zero-Day) previamente desconocida. Este descubrimiento corrige informes de seguridad anteriores que atribuían los ataques a la explotación de un fallo antiguo que ya había sido solucionado, lo que resalta los riesgos de confiar ciegamente en parches superficiales sin examinar el código ejecutable de los dispositivos.
Detalles de la vulnerabilidad y ruta de explotación
La nueva vulnerabilidad se conoce con el código CVE-2026-107441 y obtuvo una puntuación de gravedad de 8.8 según el sistema de puntuación de vulnerabilidades común (CVSS). El problema se concentra en un fallo de escritura fuera de los límites (Out-of-bounds Write) dentro del programa CGI integrado en el firmware de los dispositivos Zyxel GS1900.
Según los datos técnicos emitidos por el fabricante, la vulnerabilidad permite a un atacante no autenticado enviar solicitudes HTTP cuidadosamente diseñadas para ejecutar comandos directamente a nivel del sistema operativo del dispositivo sin necesidad de privilegios de administración. Este problema de seguridad afecta a 10 modelos diferentes dentro de la mencionada serie.
Corrección en la atribución del ataque y análisis previos
La empresa de investigación de seguridad "GreyNoise" había detectado en septiembre pasado la campaña de ataques y la atribuyó a la explotación de una vulnerabilidad anterior con el código (CVE-2026-7273), para la cual Zyxel había lanzado una actualización de seguridad en junio. Esos ataques se vincularon con el grupo de amenazas chino conocido como "Red Heron", lo que llevó a la Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) a incluir la vulnerabilidad antigua en su catálogo de explotaciones conocidas (KEV).
Sin embargo, los análisis de código recientes realizados por Binarly demostraron que los atacantes utilizaron la nueva vulnerabilidad (CVE-2026-107441) para desplegar variantes del malware "Jitterly" y "Sixzut". Dado que las actualizaciones de seguridad aplicadas para el fallo antiguo no incluían la corrección del código afectado por la nueva vulnerabilidad, los dispositivos aparentemente protegidos seguían expuestos a la intrusión real.
¿Por qué es importante esta noticia?
Este acontecimiento resalta la diferencia fundamental entre el seguimiento de las actualizaciones oficiales y la inspección real del código binario (Binary Code). La importancia se divide en los siguientes puntos:
- Insuficiencia de confiar en los números de versión: solucionar una vulnerabilidad conocida no significa necesariamente proteger el dispositivo si el atacante explota un fallo no anunciado en el mismo componente.
- Riesgos de atacar la infraestructura: la infiltración en los switches de red otorga a los atacantes una posición estratégica para controlar el flujo de datos y dominar las redes corporativas.
- Cronograma de corrección: Binarly notificó a la empresa fabricante sobre la vulnerabilidad el 29 de septiembre, y Zyxel emitió las actualizaciones de parche el 23 de octubre antes de publicar la alerta oficial el 3 de noviembre.
Este incidente confirma la necesidad de adoptar mecanismos de análisis más profundos para el código fuente y el firmware, sin limitarse únicamente a verificar los números de versión publicados por los proveedores para asegurar las redes y su sensibilidad.