A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) ordenou que as agências civis executivas federais protejam os switches Zyxel GS1900 afetados pela vulnerabilidade CVE-2026-7273 antes de quinta-feira, após detectar sua exploração efetiva em ataques direcionados ao roubo de dados. A agência adicionou a vulnerabilidade na segunda-feira ao catálogo de vulnerabilidades exploradas conhecidas (KEV), tornando sua correção obrigatória para as entidades abrangidas pela Diretiva Operacional Obrigatória BOD 26-04.
Vulnerabilidade permite a execução remota de comandos
A CVE-2026-7273 resulta de um estouro de pilha em um programa CGI dentro dos switches. Um atacante sem privilégios na rede local pode executar comandos do sistema enviando solicitações HTTP especialmente elaboradas. A Zyxel lançou atualizações de segurança para corrigir o problema em 16 de junho, recomendando aos clientes que atualizassem o firmware para obter a proteção ideal.
A Zyxel ainda não atualizou seu boletim para confirmar a exploração ativa, mas a GreyNoise afirmou em um relatório divulgado na segunda-feira que detectou os primeiros indícios de exploração em 17 de setembro de 2026. A empresa afirmou que uma entidade de ameaça suspeita de ser falante de chinês explorou a vulnerabilidade como parte de uma campanha mais ampla e conseguiu comprometer e extrair dados confidenciais de 996 switches Zyxel em 48 países.
Modelos e versões afetados
- GS1900-8: versão 2.90(AAHH.1)C0 e anteriores; correção 2.90(AAHH.2)C0.
- GS1900-8HP: versão 2.90(AAHI.1)C0 e anteriores; correção 2.90(AAHI.2)C0.
- GS1900-10HP: versão 2.90(AAZI.1)C0 e anteriores; correção 2.90(AAZI.2)C0.
- GS1900-16: versão 2.90(AAHJ.1)C0 e anteriores; correção 2.90(AAHJ.2)C0.
- GS1900-24, GS1900-24E e GS1900-24EP: versões 2.90(AAHL.1)C0, 2.90(AAHK.1)C0 e 2.90(ABTO.1)C0 e anteriores, com as correções correspondentes 2.90(AAHL.2)C0, 2.90(AAHK.2)C0 e 2.90(ABTO.2)C0.
- GS1900-24HPv2: versão 2.90(ABTP.1)C0 e anteriores; correção 2.90(ABTP.2)C0.
- GS1900-48: versão 2.90(AAHN.1)C0 e anteriores; correção 2.90(AAHN.2)C0.
- GS1900-48HPv2: versão 2.90(ABTQ.1)C0 e anteriores; correção 2.90(ABTQ.2)C0.
Por que esta notícia é importante?
A passagem de uma atualização disponível para a inclusão da vulnerabilidade no catálogo KEV significa que as organizações são obrigadas a tratá-la como um risco comprovado, e não como uma possibilidade teórica. O prazo obrigatório aplica-se diretamente às agências civis executivas federais dos EUA, mas a CISA instou todas as organizações a priorizarem as vulnerabilidades KEV no âmbito de uma gestão de riscos baseada no grau de exposição.
O alerta ganha ainda mais importância porque os switches Zyxel podem fazer parte da infraestrutura de rede fornecida por provedores de serviços de internet como dispositivos virtuais, ampliando o alcance dos equipamentos potencialmente expostos. A CISA não divulga detalhes dos ataques, enquanto os dados da GreyNoise indicam uma campanha global e a extração de dados de vários dispositivos; por isso, a natureza dos dados roubados, a entidade responsável e o objetivo final continuam sendo questões em aberto.
A CISA acompanha atualmente 13 vulnerabilidades em dispositivos Zyxel, incluindo roteadores, switches, firewalls e dispositivos NAS, que já foram exploradas ou continuam sendo exploradas. A Zyxel afirma que mais de um milhão de empresas utilizam suas soluções em 150 mercados ao redor do mundo.