Агентство США по кибербезопасности и безопасности инфраструктуры (CISA) приказало федеральным исполнительным гражданским ведомствам защитить затронутые уязвимостью CVE-2026-7273 коммутаторы Zyxel GS1900 до четверга после обнаружения их фактической эксплуатации в атаках, направленных на кражу данных. В понедельник агентство внесло уязвимость в каталог известных эксплуатируемых уязвимостей (KEV), что делает её устранение обязательным для организаций, подпадающих под действие обязательной эксплуатационной директивы BOD 26-04.
Уязвимость позволяет удалённо выполнять команды
CVE-2026-7273 вызвана переполнением стека в CGI-программе коммутаторов. Злоумышленник, не имеющий привилегий в локальной сети, может выполнять системные команды, отправляя специально сформированные HTTP-запросы. 16 июня Zyxel выпустила обновления безопасности для устранения проблемы, призвав клиентов обновить прошивку для получения оптимальной защиты.
Zyxel пока не обновила своё уведомление, чтобы подтвердить активную эксплуатацию, однако GreyNoise в отчёте, опубликованном в понедельник, заявила, что обнаружила первые признаки эксплуатации 17 сентября 2026 года. Компания сообщила, что предположительно китайскоязычная угроза использовала уязвимость в рамках более широкой кампании и смогла взломать и извлечь конфиденциальные данные из 996 коммутаторов Zyxel в 48 странах.
Затронутые модели и версии
- GS1900-8: версия 2.90(AAHH.1)C0 и более ранние; исправление 2.90(AAHH.2)C0.
- GS1900-8HP: версия 2.90(AAHI.1)C0 и более ранние; исправление 2.90(AAHI.2)C0.
- GS1900-10HP: версия 2.90(AAZI.1)C0 и более ранние; исправление 2.90(AAZI.2)C0.
- GS1900-16: версия 2.90(AAHJ.1)C0 и более ранние; исправление 2.90(AAHJ.2)C0.
- GS1900-24, GS1900-24E и GS1900-24EP: версии 2.90(AAHL.1)C0, 2.90(AAHK.1)C0 и 2.90(ABTO.1)C0 и более ранние, с соответствующими исправлениями 2.90(AAHL.2)C0, 2.90(AAHK.2)C0 и 2.90(ABTO.2)C0.
- GS1900-24HPv2: версия 2.90(ABTP.1)C0 и более ранние; исправление 2.90(ABTP.2)C0.
- GS1900-48: версия 2.90(AAHN.1)C0 и более ранние; исправление 2.90(AAHN.2)C0.
- GS1900-48HPv2: версия 2.90(ABTQ.1)C0 и более ранние; исправление 2.90(ABTQ.2)C0.
Почему эта новость важна?
Переход от наличия доступного обновления к включению уязвимости в каталог KEV означает, что организации обязаны рассматривать её как подтверждённую угрозу, а не как теоретическую вероятность. Обязательный срок напрямую распространяется на федеральные исполнительные гражданские ведомства США, однако CISA призвала все организации уделять приоритетное внимание уязвимостям KEV в рамках управления рисками на основе степени подверженности.
Предупреждение приобретает дополнительное значение, поскольку коммутаторы Zyxel могут быть частью сетевой инфраструктуры, поставляемой интернет-провайдерами в качестве виртуальных устройств, что расширяет потенциальный охват уязвимых устройств. CISA не раскрывает подробностей атак, тогда как данные GreyNoise указывают на глобальную кампанию и извлечение данных из множества устройств; поэтому характер украденных данных, ответственная сторона и конечная цель остаются открытыми вопросами.
В настоящее время CISA отслеживает 13 уязвимостей в устройствах Zyxel, включая маршрутизаторы, коммутаторы, межсетевые экраны и устройства NAS, которые ранее эксплуатировались или продолжают эксплуатироваться. Zyxel утверждает, что более миллиона компаний используют её решения на 150 рынках по всему миру.