Prepínače Zyxel GS1900: útočník z lokálnej siete môže spúšťať príkazy, júnová o…

Čo sa stalo

Zyxel 16. júna 2026 upozornil na chybu CVE-2026-7273 v riadených prepínačoch (switchoch) série GS1900. Chyba je v programe, ktorý obsluhuje webové rozhranie na správu prepínača. Útočník z lokálnej siete ju podľa výrobcu môže zneužiť bez prihlásenia a pomocou upravenej HTTP požiadavky potenciálne spustiť príkazy operačného systému prepínača. Opravu priniesol firmvér 2.90 Patch 2.

Americká agentúra CISA zaradila CVE-2026-7273 21. septembra 2026 do katalógu zneužívaných zraniteľností a európska databáza EUVD ju od toho dňa vedie ako zneužívanú. Podľa Help Net Security firma GreyNoise zistila, že čínsky hovoriaca skupina útočníkov takto napadla takmer 1 000 zariadení v 48 krajinách a ukradla z nich konfiguráciu, informácie o sieti a hashe hesiel správcu.

Bezpečnostná firma Binarly skúmala riadiaci server škodlivého kódu, ktorý sa spája s tou istou skupinou. Našla na ňom hotový exploit a pri testoch zistila, že funguje aj na prepínačoch s júnovou opravou. Help Net Security z toho vyvodzuje, že útočníci sa zrejme nespoliehali len na CVE-2026-7273, možno vôbec. Binarly upozornila Zyxel 29. septembra 2026 a výrobca druhú chybu, CVE-2026-107441, opravil vo firmvéri 2.90 Patch 3. Help Net Security uvádza, že oprava vyšla 22. októbra 2026, oficiálne upozornenie Zyxel zverejnil 3. novembra 2026.

CISA ani EUVD zatiaľ CVE-2026-107441 ako zneužívanú nevedú. Help Net Security však na základe zistení Binarly píše, že exploit nájdený u útočníkov stojí práve na tejto chybe. Berte ju preto rovnako vážne ako prvú.

Prečo je to nebezpečné

Obe chyby súvisia s prácou s pamäťou: ide o pretečenie zásobníka (CVE-2026-7273) a zápis mimo vyhradenej pamäte (CVE-2026-107441). Predstavte si formulár s kolónkou na desať znakov, pri ktorom program nekontroluje, či do nej niekto nenapíše sto. Prebytočné znaky prepíšu susedné údaje v pamäti a šikovný útočník tak môže zmeniť aj to, čo program urobí ďalej. Obe chyby sú v CGI programe, teda v časti webovej správy, ktorá spracúva požiadavky z prehliadača.

Útočník sa nemusí prihlásiť a nikto nemusí nič otvoriť ani na nič kliknúť. Potrebuje však sieťový prístup k prepínaču, Zyxel hovorí o útočníkovi v lokálnej sieti. Ak sa mu podarí spustiť príkazy, môže z prepínača čítať údaje a meniť jeho nastavenia. Pri útokoch, ktoré opísala GreyNoise, útočníci z prepínačov získali konfiguráciu, informácie o sieti a hashe hesiel správcu.

„Lokálna sieť“ neznamená bezpečie. Stačí jeden napadnutý počítač, hosťovská Wi-Fi bez oddelenia alebo webová správa omylom dostupná z internetu.

Zyxel ohodnotil obe chyby skóre CVSS 8,8 z 10 (verzia 3.1), čo je vysoká závažnosť. Skóre nie je kritické najmä preto, že útočník musí byť v lokálnej sieti, nie kdekoľvek na internete. Inak ide o chybu bez nutnosti prihlásenia s plným dopadom na dôvernosť, integritu aj dostupnosť.

Katalóg CISA KEV je zoznam chýb, ktoré útočníci preukázateľne zneužívajú. Federálne úrady v USA museli CVE-2026-7273 ošetriť do 24. septembra 2026. EPSS odhaduje pravdepodobnosť zneužitia v najbližších 30 dňoch: k 5. novembru 2026 je to 2,78 % pri CVE-2026-7273 (viac ako pri 86 % známych chýb) a 0,29 % pri CVE-2026-107441. Ide o štatistický odhad, ktorý pri čerstvej chybe nemusí odrážať, že funkčný exploit už existuje.

Koho sa to týka

Týka sa to prepínačov Zyxel GS1900 s firmvérom 2.90 Patch 2 alebo starším. Zyxel uvádza tieto modely a zraniteľné verzie:

GS1900-8: 2.90(AAHH.2)C0 a staršie
GS1900-8HP: 2.90(AAHI.2)C0 a staršie
GS1900-10HP: 2.90(AAZI.2)C0 a staršie
GS1900-16: 2.90(AAHJ.2)C0 a staršie
GS1900-24: 2.90(AAHL.2)C0 a staršie
GS1900-24E: 2.90(AAHK.2)C0 a staršie
GS1900-24EP: 2.90(ABTO.2)C0 a staršie
GS1900-24HPv2: 2.90(ABTP.2)C0 a staršie
GS1900-48: 2.90(AAHN.2)C0 a staršie
GS1900-48HPv2: 2.90(ABTQ.2)C0 a staršie

Tieto prepínače sú bežné v kanceláriách, školách, ambulanciách či na pobočkách. Modely s HP v názve napájajú cez sieťový kábel (PoE) kamery, Wi-Fi prístupové body alebo IP telefóny. Často bežia roky bez aktualizácie firmvéru.

Zyxel uvádza, že iné predávané produkty, ktoré v zozname nie sú, zasiahnuté nie sú. Opravy vydal pre modely, ktoré sú ešte v období podpory. Ak máte starší model GS1900, ktorý v zozname chýba, overte si jeho stav u Zyxelu alebo predajcu.

Ako zistiť, či ste zasiahnutí

Verziu firmvéru nájdete po prihlásení do webovej správy prepínača v prehľade systémových informácií (System Information) pri položke „Firmware Version“. Nič tým nemeníte.

Ak máte povolený prístup cez SSH, po prihlásení stačí príkaz, ktorý verziu len vypíše:

show version

Rozhoduje číslo v zátvorke. Ak je tam .1 alebo .2 (napríklad 2.90(AAHK.2)C0), alebo máte ešte starší firmvér, prepínač je zraniteľný. Opravená je až verzia s .3, teda 2.90 Patch 3.

Zároveň si overte, či webová správa prepínača nie je dostupná z internetu, napríklad cez presmerovanie portov na routeri alebo firewalle, a z ktorých vnútorných sietí sa k nej dá dostať.

Ako to opraviť

Opravou je firmvér 2.90 Patch 3. Každý model má vlastnú verziu:

GS1900-8: 2.90(AAHH.3)C0
GS1900-8HP: 2.90(AAHI.3)C0
GS1900-10HP: 2.90(AAZI.3)C0
GS1900-16: 2.90(AAHJ.3)C0
GS1900-24: 2.90(AAHL.3)C0
GS1900-24E: 2.90(AAHK.3)C0
GS1900-24EP: 2.90(ABTO.3)C0
GS1900-24HPv2: 2.90(ABTP.3)C0
GS1900-48: 2.90(AAHN.3)C0
GS1900-48HPv2: 2.90(ABTQ.3)C0

Pozor: ak ste po júnovom upozornení nasadili Patch 2, prepínače sú stále zraniteľné. Podľa tabuliek Zyxelu Patch 3 nie je zasiahnutý ani jednou z chýb, preto z akejkoľvek staršej verzie aktualizujte rovno naň.

Spíšte všetky prepínače GS1900 vo firme a ich verzie firmvéru.
Začnite tými, ktorých správa je dostupná z internetu alebo z menej dôveryhodných sietí (hostia, Wi-Fi, bežní používatelia).
Firmvér sťahujte len z oficiálnej stránky Zyxel pre presný model. Kód v zátvorke musí zodpovedať modelu.
Zálohujte konfiguráciu prepínača.
Aktualizujte v servisnom okne. Prepínač sa reštartuje a na chvíľu vypadne sieť aj napájanie zariadení cez PoE.
Po reštarte overte verziu a funkčnosť siete.

Zyxel dočasné riešenie neuvádza. Kým prepínače neaktualizujete, obmedzte prístup k webovej správe: nesprístupňujte ju z internetu a povoľte ju len zo správcovskej siete (VLAN) alebo z IP adries správcov.

Čo ak už ste mohli byť napadnutí

Pri útokoch, ktoré opísala GreyNoise a cituje ich Help Net Security, útočníci z prepínačov kradli konfiguráciu, informácie o sieti a hashe hesiel správcu. Zyxel konkrétne indikátory napadnutia nezverejnil. Help Net Security odporúča okrem aktualizácie zvážiť aj hľadanie stôp kompromitácie.

Zmeňte heslá všetkých účtov na prepínači a všade, kde sa používa rovnaké heslo.
Porovnajte konfiguráciu so staršou zálohou: neznáme účty, zmeny VLAN, zrkadlenie portov, SNMP komunity, prístupové pravidlá.
Prejdite logy prepínača a syslog, či sa do správy neprihlasoval niekto z neznámych adries.
Vo firewalle hľadajte spojenia z IP adresy prepínača do internetu. Prepínač bežne takmer nikam nekomunikuje.

Ak nájdete niečo podozrivé, prepínač odpojte, obnovte do továrenského nastavenia, nahrajte Patch 3 a konfiguráciu nastavte nanovo alebo z overenej zálohy spred útoku. Pri nejasných nálezoch alebo ak prepínač drží kritickú časť siete, prizvite odborníka na riešenie incidentov.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.

Prepínače Zyxel GS1900: útočník z lokálnej siete môže spúšťať príkazy, júnová oprava nestačí