サイバーセキュリティ企業の「Binarly」は、「Zyxel（ザイセル）」製の「GS1900」シリーズのネットワークスイッチ（Switches）約1000台が、これまで知られていなかった「ゼロデイ（Zero-Day）」セキュリティ脆弱性を介して侵害されたことを明らかにした。この発見は、攻撃をすでに修正されていた古い脆弱性の悪用によるものとしていた以前のセキュリティ報告を訂正するものであり、デバイスの実行コードを検証せずに形式的なパッチに全面的に依存することのリスクを浮き彫りにしている。
脆弱性の詳細と悪用の経路
新しい脆弱性は CVE-2026-107441 として知られており、共通脆弱性評価システム（CVSS）による深刻度スコアは8.8となっている。この問題は、Zyxel GS1900のファームウェアに組み込まれたCGIプログラム内の領域外書き込み（Out-of-bounds Write）の欠陥に起因している。
メーカーが発表した技術データによると、この脆弱性により、認証されていない攻撃者が慎重に細工したHTTPリクエストを送信することで、管理者権限を必要とせず、デバイスのオペレーティングシステムレベルで直接コマンドを実行できるようになる。このセキュリティ問題は、該当シリーズ内の10種類の異なるモデルに影響を与えている。
攻撃の比率と過去の分析の訂正
セキュリティ調査会社「GreyNoise」は昨年9月、この攻撃キャンペーンを検知し、Zyxelが6月にセキュリティアップデートをリリースしていた過去の脆弱性（CVE-2026-7273）の悪用に起因するものとしていた。これらの攻撃は「Red Heron」として知られる中国の脅威グループに関連付けられており、これにより米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、古い脆弱性を悪用が確認された脆弱性カタログ（KEV）に追加するに至った。
しかし、Binarlyが実施した最近のバイナリ解析により、攻撃者がマルウェアの亜種である「Jitterly」および「Sixzut」を展開するために新しい脆弱性（CVE-2026-107441）を使用していたことが証明された。古い脆弱性に対して適用されたセキュリティアップデートには、新しい脆弱性の影響を受けるコードの修正が含まれていなかったため、表面的に保護されていたデバイスも実際の侵害に対して脆弱なままとなっていた。
なぜこのニュースが重要なのか？
この展開は、公式アップデートの追跡とバイナリコード（Binary Code）の実地検査との間の本質的な違いを浮き彫りにしている。重要性は以下の点に分散している。
- バージョン番号への依存の限界：攻撃者が同じコンポーネント内の未公開の脆弱性を悪用している場合、既知の脆弱性に対処することが必ずしもデバイスの保護を意味するわけではない。
- インフラストラクチャを標的とするリスク：ネットワークスイッチの侵害は、データフローを制御し組織のネットワークを乗取るための戦略的な足がかりを攻撃者に与える。
- 修正のタイムライン：Binarlyは9月29日にメーカーへ脆弱性を通知し、Zyxelは10月23日に修正アップデートをリリースした後、11月3日に公式警告を公開した。
このインシデントは、ネットワークのセキュリティを確保するために、ベンダーが発行するバージョン番号の照合にとどまらず、ソースコードやファームウェアに対するより深い検査メカニズムを採用する必要性を強調している。