A empresa de segurança cibernética "Binarly" revelou que aproximadamente 1.000 switches de rede da série "GS1900", fabricados pela "Zyxel", foram comprometidos por meio de uma vulnerabilidade de segurança até então desconhecida do tipo "zero-day". Esta descoberta corrige relatórios de segurança anteriores que haviam atribuído os ataques à exploração de uma falha antiga que já havia sido corrigida, destacando os riscos de depender totalmente de patches superficiais sem inspecionar o código executável dos dispositivos.
Detalhes da vulnerabilidade e vetor de exploração
A nova vulnerabilidade é conhecida pelo código CVE-2026-107441 e recebeu uma pontuação de gravidade de 8,8 de acordo com o Sistema de Pontuação de Vulnerabilidades Comuns (CVSS). O problema concentra-se em uma falha de gravação fora dos limites (Out-of-bounds Write) dentro do programa CGI integrado no firmware dos dispositivos Zyxel GS1900.
De acordo com os dados técnicos emitidos pelo fabricante, a vulnerabilidade permite que um invasor não autenticado envie solicitações HTTP cuidadosamente elaboradas para executar comandos diretamente no nível do sistema operacional do dispositivo, sem a necessidade de privilégios administrativos. Este problema de segurança afeta 10 modelos diferentes dentro da referida série.
Correção da proporção de ataques e análises anteriores
A empresa de pesquisa de segurança "GreyNoise" havia monitorado a campanha de ataques em setembro passado e a atribuiu à exploração de uma falha anterior com o código (CVE-2026-7273), para a qual a Zyxel havia lançado uma atualização de segurança em junho. Esses ataques foram associados ao grupo de ameaças chinês conhecido como "Red Heron", levando a Agência de Segurança de Infraestrutura e Cibersegurança dos EUA (CISA) a incluir a vulnerabilidade antiga no catálogo de explorações conhecidas (KEV).
No entanto, análises de código recentes realizadas pela Binarly provaram que os invasores usaram a nova vulnerabilidade (CVE-2026-107441) para implantar variantes dos malwares "Jitterly" e "Sixzut". Como as atualizações de segurança aplicadas para a falha antiga não incluíam a correção do código afetado pela nova vulnerabilidade, os dispositivos aparentemente protegidos permaneceram vulneráveis a invasões reais.
Por que esta notícia é importante?
Este desenvolvimento destaca a diferença fundamental entre acompanhar atualizações oficiais e inspecionar efetivamente o código binário. A importância está dividida nos seguintes pontos:
- Limitações de depender de números de versão: Corrigir uma vulnerabilidade conhecida não significa necessariamente proteger o dispositivo se o invasor estiver explorando uma falha não divulgada no mesmo componente.
- Riscos de atingir a infraestrutura: Comprometer switches de rede dá aos invasores uma posição estratégica para controlar o fluxo de dados e dominar redes corporativas.
- Cronograma de correção: A Binarly notificou o fabricante sobre a vulnerabilidade em 29 de setembro, e a Zyxel lançou atualizações corretivas em 23 de outubro antes de publicar o alerta oficial em 3 de novembro.
Este incidente enfatiza a necessidade de adotar mecanismos de inspeção mais profundos para código-fonte e firmware, sem confiar apenas na correspondência de números de versão emitidos pelos fornecedores para proteger redes sensíveis.