La société de cybersécurité "Binarly" a révélé qu'environ 1 000 commutateurs (Switches) de la série "GS1900" produits par "Zyxel" ont été compromis via une faille de sécurité zero-day jusqu'alors inconnue. Cette découverte vient corriger de précédents rapports de sécurité qui attribuaient ces attaques à l'exploitation d'une ancienne vulnérabilité déjà corrigée, soulignant les risques liés à une dépendance totale envers les correctifs superficiels sans vérification des codes exécutables des appareils.
Détails de la vulnérabilité et vecteur d'exploitation
La nouvelle faille est répertoriée sous l'identifiant CVE-2026-107441 et s'est vu attribuer un score de gravité de 8,8 selon le système d'évaluation globale des vulnérabilités (CVSS). Le problème réside dans un défaut d'écriture hors limites (Out-of-bounds Write) au sein du programme CGI intégré au micrologiciel (Firmware) des appareils Zyxel GS1900.
Selon les données techniques publiées par le fabricant, la faille permet à un attaquant non authentifié d'envoyer des requêtes HTTP spécialement conçues pour exécuter des commandes directement au niveau du système d'exploitation de l'appareil, sans nécessiter de privilèges d'administration. Ce problème de sécurité touche 10 modèles différents au sein de la série mentionnée.
Correction de l'attribution des attaques et des analyses précédentes
La société de recherche en sécurité "GreyNoise" avait détecté la campagne d'attaques en septembre dernier et l'avait attribuée à l'exploitation d'une vulnérabilité antérieure portant la référence (CVE-2026-7273), pour laquelle Zyxel avait publié une mise à jour de sécurité en juin. Ces attaques avaient été liées au groupe de menaces chinois connu sous le nom de "Red Heron", ce qui avait incité l'Agence de cybersécurité et de sécurité des infrastructures des États-Unis (CISA) à inclure l'ancienne vulnérabilité dans son catalogue de failles connues et exploitées (KEV).
Cependant, les récentes analyses logicielles menées par Binarly ont prouvé que les attaquants ont utilisé la nouvelle faille (CVE-2026-107441) pour déployer des variantes des logiciels malveillants "Jitterly" et "Sixzut". Étant donné que les mises à jour de sécurité appliquées pour l'ancienne faille ne comprenaient pas la correction du code affecté par la nouvelle vulnérabilité, les appareils prétendument protégés sont restés exposés à une compromission effective.
Pourquoi cette nouvelle est-elle importante ?
Cette évolution met en évidence la différence fondamentale entre le suivi des mises à jour officielles et l'inspection réelle du code binaire (Binary Code). L'importance se répartit selon les points suivants :
- L'insuffisance du recours aux numéros de version : remédier à une faille connue ne garantit pas nécessairement la protection de l'appareil si l'attaquant exploite une vulnérabilité non divulguée dans le même composant.
- Les risques liés au ciblage des infrastructures : le piratage des commutateurs de réseau offre aux attaquants un point d'ancrage stratégique pour contrôler le flux de données et régenter les réseaux d'entreprise.
- Le calendrier de correction : Binarly a informé le fabricant de la faille le 29 septembre, et Zyxel a publié les mises à jour correctives le 23 octobre avant la diffusion de l'alerte officielle le 3 novembre.
Cet incident confirme la nécessité d'adopter des mécanismes d'inspection plus approfondis pour les codes source et les micrologiciels, et de ne pas se contenter de faire correspondre les numéros de version publiés par les fournisseurs pour sécuriser des réseaux sensibles.