Zyxel روز صفر را برای هک کردن نزدیک به 1000 سوئیچ شبکه اصلاح می کند

زایکسل یک آسیب‌پذیری روز صفر را در سوئیچ‌های شبکه سری GS1900 خود اصلاح کرده است که هکرها از آن برای به خطر انداختن نزدیک به 1000 دستگاه در سراسر جهان و سرقت فایل‌های پیکربندی و اعتبارنامه‌ها سوء استفاده کردند.

این آسیب‌پذیری که به‌عنوان CVE-2026-107441 ردیابی می‌شود، یک نقص نوشتن خارج از محدوده در رابط مدیریت وب سوئیچ‌ها است که به یک مهاجم احراز هویت نشده با دسترسی شبکه اجازه می‌دهد تا دستورات سیستم عامل را با استفاده از درخواست‌های HTTP ساخته‌شده خاص اجرا کند.

این نقص ده مدل سوئیچ GS1900 را تحت تأثیر قرار می دهد و Zyxel به روز رسانی های امنیتی را در 22 اکتبر منتشر کرد و یک توصیه امنیتی در 3 نوامبر منتشر کرد.

با این حال، این آسیب‌پذیری در ابتدا با یک نقص قدیمی‌تر اشتباه گرفته شد که Zyxel ماه‌ها قبل از شروع حملات آن را اصلاح کرده بود.

در 16 ژوئن 2026، Zyxel به‌روزرسانی‌های امنیتی را با آدرس CVE-2026-7273 منتشر کرد، یک آسیب‌پذیری سرریز بافر پیش از احراز هویت که روی همان سوئیچ‌های GS1900 تأثیر می‌گذارد.

از حدود 17 آگوست، شرکت امنیت سایبری GreyNoise مشاهده کرد که یک عامل تهدید مظنون به زبان چینی به عنوان Kapibala در حال سوء استفاده از سوئیچ‌های Zyxel ردیابی شده بود و گزارش داد که مهاجمان 996 دستگاه را در 48 کشور به خطر انداخته‌اند.

عوامل تهدید قبل از دانلود اسکریپتی که پیکربندی‌های دستگاه، اعتبار هش شده ریشه و اطلاعات شبکه را جمع‌آوری می‌کند، از این نقص برای اجرای دستورات از راه دور سوء استفاده کردند.

GreyNoise، Kapibala را به کمپین هک Red Heron مرتبط کرد، که قبلا Acronis گزارش داده بود که از یک آسیب پذیری مهم در سرویس Git خود میزبان Gitea سوء استفاده می کند.

هنگامی که GreyNoise این کمپین را در 21 سپتامبر فاش کرد، سوء استفاده را به CVE-2026-7273 نسبت داد، آسیب‌پذیری که Zyxel در ژوئن اصلاح کرده بود.

در همان روز، CISA CVE-2026-7273 را به فهرست آسیب‌پذیری‌های شناخته شده خود اضافه کرد و سازمان‌های فدرال را ملزم به رسیدگی به این نقص کرد.

با این حال، محققان شرکت امنیتی سیستم‌افزار Binarly دریافتند که اکسپلویت مورد استفاده در حملات در واقع آسیب‌پذیری جداگانه و ناشناخته‌ای را هدف قرار می‌دهد که اصلاح نشده باقی مانده است.

در حین بررسی زیرساخت Red Heron مرتبط با درب پشتی JITTERLY و روت کیت SIXZUT، محققان Binarly یک بایگانی در معرض دید را پیدا کردند که حاوی یک اکسپلویت مبهم پایتون است که سوئیچ های Zyxel GS1900 را هدف قرار می دهد.

پس از تجزیه و تحلیل این اکسپلویت، محققان دریافتند که به طور خاص نسخه‌های سفت‌افزار اصلاح‌شده برای CVE-2026-7273 را بررسی می‌کند، که نشان می‌دهد این اکسپلویت برای هدف قرار دادن آن نسخه‌ها توسعه یا به‌روزرسانی شده است.

باینری در 28 سپتامبر تأیید کرد که این اکسپلویت در برابر هر ده نسخه سفت‌افزاری که برای CVE-2026-7273 وصله شده‌اند، مؤثر باقی مانده است.

محققان تشخیص دادند که به‌روزرسانی امنیتی قبلی، بررسی‌هایی را برای جلوگیری از سرریز بافر اضافه می‌کند، اما مهاجمان می‌توانند با خراب کردن یک شمارنده پارامتر قبل از تأیید اعتبار، آنها را دور بزنند.

این به اکسپلویت اجازه می‌دهد تا حافظه را بازنویسی کند و دستورات را بدون احراز هویت اجرا کند، حتی در سوئیچ‌هایی که به‌روزرسانی‌های امنیتی قبلی را اجرا می‌کنند.

Binarly یافته‌های خود را در 29 سپتامبر به Zyxel گزارش کرد و فروشنده آسیب‌پذیری جدید را در 11 اکتبر تأیید کرد و آن را به CVE-2026-107441 اختصاص داد.

Zyxel آن را به عنوان یک نقص جداگانه طبقه بندی کرد زیرا این اکسپلویت همچنین از اعتبار سنجی از دست رفته طول پارامتر HTTP سوء استفاده کرد.

در 22 اکتبر، Zyxel به‌روزرسانی‌های سفت‌افزار جدیدی را منتشر کرد که اندازه پارامترها را محدود می‌کند و تعداد پارامترها را قبل از کپی کردن داده‌ها در حافظه تأیید می‌کند و از تکنیک بهره‌برداری جلوگیری می‌کند.

در حالی که اکسپلویت بازیابی شده به طور خاص سفت‌افزاری را هدف قرار داده است که برای CVE-2026-7273 وصله شده است، هنوز مشخص نیست که آیا عمدا برای دور زدن این به‌روزرسانی‌ها ایجاد شده است یا از آسیب‌پذیری مرتبطی که وصله‌های قبلی نتوانسته بودند آن را برطرف کنند، سوء استفاده کرده است.

به مدیران سوئیچ‌های آسیب‌دیده Zyxel GS1900 توصیه می‌شود برای محافظت در برابر CVE-2026-107441، آخرین به‌روزرسانی‌های سیستم عامل را نصب کنند.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

ایوانتی دو روز دیگر Connect Secure را به صورت زنجیره ای در حملات وصله می کند

فایروال جدید سیسکو zero-day برای خراب کردن دستگاه های SSL VPN مورد سوء استفاده قرار گرفت

Windows Defender جدید روز صفر آپدیت های آنتی ویروس مایکروسافت را مسدود می کند

اپل از وصله های CoreGraphics روز صفر برای آیفون های قدیمی تر پشتیبانی می کند

Arista وصله های جدید VeloCloud Orchestrator zero-day را که در حملات مورد سوء استفاده قرار می گیرد