米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、データ窃取を目的とした攻撃で実際に悪用されていることが確認されたことを受け、連邦行政機関の文民機関に対し、脆弱性CVE-2026-7273の影響を受けるZyxel GS1900スイッチを木曜日までに安全な状態にするよう命じた。同庁は月曜日、この脆弱性を既知の悪用された脆弱性カタログ（KEV）に追加した。これにより、拘束力のある運用指令BOD 26-04の対象機関には対処が義務付けられる。
リモートからコマンドを実行可能にする脆弱性
CVE-2026-7273は、スイッチ内のCGIプログラムにおけるスタックオーバーフローに起因する。ローカルネットワーク上の権限を持たない攻撃者でも、特別に細工したHTTPリクエストを送信することでシステムコマンドを実行できる。Zyxelは6月16日にこの問題に対処するセキュリティアップデートを公開し、最適な保護を得るためにファームウェアをアップグレードするよう顧客に呼びかけた。
Zyxelは現在も、悪用が सक्रियであることを確認するためのアドバイザリを更新していない。しかしGreyNoiseは月曜日に発表した報告書で、2026年9月17日に悪用の最初の兆候を確認したと述べた。同社によると、中国語話者と疑われる脅威アクターが、より広範なキャンペーンの一環としてこの脆弱性を悪用し、48か国にある996台のZyxelスイッチへの侵入と機密データの抽出に成功した。
影響を受けるモデルとバージョン
- GS1900-8：バージョン2.90(AAHH.1)C0以前；修正版2.90(AAHH.2)C0。
- GS1900-8HP：バージョン2.90(AAHI.1)C0以前；修正版2.90(AAHI.2)C0。
- GS1900-10HP：バージョン2.90(AAZI.1)C0以前；修正版2.90(AAZI.2)C0。
- GS1900-16：バージョン2.90(AAHJ.1)C0以前；修正版2.90(AAHJ.2)C0。
- GS1900-24、GS1900-24E、GS1900-24EP：それぞれバージョン2.90(AAHL.1)C0、2.90(AAHK.1)C0、2.90(ABTO.1)C0以前で、対応する修正版はそれぞれ2.90(AAHL.2)C0、2.90(AAHK.2)C0、2.90(ABTO.2)C0。
- GS1900-24HPv2：バージョン2.90(ABTP.1)C0以前；修正版2.90(ABTP.2)C0。
- GS1900-48：バージョン2.90(AAHN.1)C0以前；修正版2.90(AAHN.2)C0。
- GS1900-48HPv2：バージョン2.90(ABTQ.1)C0以前；修正版2.90(ABTQ.2)C0。
なぜこのニュースが重要なのか
利用可能なアップデートが存在する段階から、脆弱性がKEVカタログに掲載される段階へ移行したことは、組織がこれを理論上の可能性ではなく、確認されたリスクとして扱うことを求められていることを意味する。義務付けられた期限は米国の連邦行政機関の文民機関に直接適用されるが、CISAはすべての組織に対し、露出度に基づくリスク管理の中でKEVの脆弱性を優先するよう呼びかけた。
警告の重要性が増しているのは、Zyxelのスイッチが、インターネットサービスプロバイダーが仮想デバイスとして提供するネットワーク基盤の一部となっている可能性があり、影響を受ける可能性のある機器の範囲が広がるためでもある。CISAは攻撃の詳細を明らかにしていない一方、GreyNoiseのデータは世界規模のキャンペーンと複数の機器からのデータ抽出を示している。そのため、盗まれたデータの性質、責任を負う主体、最終的な標的は依然として未解決の問題である。
CISAは現在、Zyxel製品の13件の脆弱性を追跡している。これらには、ルーター、スイッチ、ファイアウォール、NAS機器に存在し、過去に悪用されたか、現在も悪用が続いている脆弱性が含まれる。Zyxelによると、世界150市場で100万社を超える企業が同社のソリューションを利用している。