脆弱性の詳細
Zyxelは、GS1900ネットワークスイッチシリーズのWeb管理インターフェースにおける「境界外書き込み（out-of-bounds write）」と呼ばれる深刻な脆弱性の修正を発表しました。この脆弱性はCVE-2026-107441として識別され、不正な攻撃者が特別に細工されたHTTPリクエストを通じて、リモートでオペレーティングシステムのコマンドを実行することを可能にします。
攻撃の背景とセキュリティ上の混乱
この経緯は、Zyxelが以前の脆弱性（CVE-2026-7273）に対するアップデートをリリースした2026年6月に始まりました。しかし、サイバーセキュリティ企業であるGreyNoiseは、2026年8月に「Red Heron」キャンペーンに関連するKapibalaとして知られる脅威グループの活動を検知しました。これにより、48カ国で約996台のデバイスが侵害されました。当初、研究者たちは攻撃者が6月に修正された脆弱性を悪用していると考えていましたが、その後のBinarlyによる調査で、攻撃者が当時は未発見であった全く別の脆弱性を標的にしていたことが明らかになりました。
なぜこのニュースが重要なのか？
この展開の重要性は、攻撃者が以前のセキュリティアップデートを回避できる能力にあります。Binarlyの研究者は、攻撃者がCVE-2026-7273のアップデートを適用したデバイスを具体的に標的とするPythonスクリプトを使用していたことを発見しました。攻撃者は、検証前にパラメータカウンタを破損させることでバッファオーバーフローの検証を回避することに成功し、古い修正が存在しているにもかかわらず、コマンドの実行を可能にしました。
ユーザーにとっての実質的な変更点は？
Zyxelは2026年10月22日に、メモリ内で処理される前にパラメータのサイズを制限し、その数を検証する新しいソフトウェアアップデートをリリースし、脆弱性を完全に修正しました。設定ファイルやルート資格情報の窃取を目的としたこれらの攻撃から保護するために、影響を受ける10種類のGS1900モデルを使用しているすべてのネットワーク管理者は、直ちに最新バージョンのファームウェア（Firmware）をインストールすることが推奨されます。