Switche Zyxel GS1900: útočník z lokální sítě může spouštět příkazy, červnová op…

Co se stalo

Zyxel 16. června 2026 upozornil na chybu CVE-2026-7273 ve spravovaných switchích řady GS1900. Chyba je v programu, který obsluhuje webové rozhraní pro správu switche. Útočník z lokální sítě ji podle výrobce může zneužít bez přihlášení a pomocí upraveného HTTP požadavku potenciálně spustit příkazy operačního systému switche. Opravu přinesl firmware 2.90 Patch 2.

Americká agentura CISA zařadila CVE-2026-7273 21. září 2026 do katalogu zneužívaných zranitelností a evropská databáze EUVD ji od toho dne vede jako zneužívanou. Podle Help Net Security firma GreyNoise zjistila, že čínsky mluvící skupina útočníků takto napadla téměř 1 000 zařízení ve 48 zemích a ukradla z nich konfiguraci, informace o síti a hashe hesel správce.

Bezpečnostní firma Binarly zkoumala řídicí server škodlivého kódu, který se pojí se stejnou skupinou. Našla na něm hotový exploit a při testech zjistila, že funguje i na switchích s červnovou opravou. Help Net Security z toho vyvozuje, že útočníci se zřejmě nespoléhali jen na CVE-2026-7273, možná vůbec. Binarly upozornila Zyxel 29. září 2026 a výrobce druhou chybu, CVE-2026-107441, opravil ve firmwaru 2.90 Patch 3. Help Net Security uvádí, že oprava vyšla 22. října 2026, oficiální upozornění Zyxel zveřejnil 3. listopadu 2026.

CISA ani EUVD zatím CVE-2026-107441 jako zneužívanou nevedou. Help Net Security ale na základě zjištění Binarly píše, že exploit nalezený u útočníků stojí právě na této chybě. Berte ji proto stejně vážně jako první.

Proč je to nebezpečné

Obě chyby souvisejí s prací s pamětí: jde o přetečení zásobníku (CVE-2026-7273) a zápis mimo vyhrazenou paměť (CVE-2026-107441). Představte si formulář s kolonkou na deset znaků, u kterého program nekontroluje, jestli do ní někdo nenapíše sto. Přebytečné znaky přepíšou sousední data v paměti a šikovný útočník tak může změnit i to, co program udělá dál. Obě chyby jsou v CGI programu, tedy v části webové správy, která zpracovává požadavky z prohlížeče.

Útočník se nemusí přihlásit a nikdo nemusí nic otevřít ani na nic kliknout. Potřebuje ale síťový přístup ke switchi, Zyxel mluví o útočníkovi v lokální síti. Pokud se mu podaří spustit příkazy, může ze switche číst data a měnit jeho nastavení. Při útocích, které popsala GreyNoise, útočníci ze switchů získali konfiguraci, informace o síti a hashe hesel správce.

„Lokální síť“ neznamená bezpečí. Stačí jeden napadený počítač, hostovská Wi-Fi bez oddělení nebo webová správa omylem dostupná z internetu.

Zyxel ohodnotil obě chyby skóre CVSS 8,8 z 10 (verze 3.1), což je vysoká závažnost. Skóre není kritické hlavně proto, že útočník musí být v lokální síti, ne kdekoli na internetu. Jinak jde o chybu bez nutnosti přihlášení s plným dopadem na důvěrnost, integritu i dostupnost.

Katalog CISA KEV je seznam chyb, které útočníci prokazatelně zneužívají. Federální úřady v USA musely CVE-2026-7273 ošetřit do 24. září 2026. EPSS odhaduje pravděpodobnost zneužití v nejbližších 30 dnech: k 5. listopadu 2026 je to 2,78 % u CVE-2026-7273 (víc než u 86 % známých chyb) a 0,29 % u CVE-2026-107441. Jde o statistický odhad, který u čerstvé chyby nemusí odrážet, že funkční exploit už existuje.

Koho se to týká

Týká se to switchů Zyxel GS1900 s firmwarem 2.90 Patch 2 nebo starším. Zyxel uvádí tyto modely a zranitelné verze:

GS1900-8: 2.90(AAHH.2)C0 a starší
GS1900-8HP: 2.90(AAHI.2)C0 a starší
GS1900-10HP: 2.90(AAZI.2)C0 a starší
GS1900-16: 2.90(AAHJ.2)C0 a starší
GS1900-24: 2.90(AAHL.2)C0 a starší
GS1900-24E: 2.90(AAHK.2)C0 a starší
GS1900-24EP: 2.90(ABTO.2)C0 a starší
GS1900-24HPv2: 2.90(ABTP.2)C0 a starší
GS1900-48: 2.90(AAHN.2)C0 a starší
GS1900-48HPv2: 2.90(ABTQ.2)C0 a starší

Tyto switche jsou běžné v kancelářích, školách, ordinacích nebo na pobočkách. Modely s HP v názvu napájejí přes síťový kabel (PoE) kamery, Wi-Fi přístupové body nebo IP telefony. Často běží roky bez aktualizace firmwaru.

Zyxel uvádí, že jiné prodávané produkty, které v seznamu nejsou, zasaženy nejsou. Opravy vydal pro modely, které jsou ještě v období podpory. Pokud máte starší model GS1900, který v seznamu chybí, ověřte si jeho stav u Zyxelu nebo prodejce.

Jak zjistit, zda jste zasaženi

Verzi firmwaru najdete po přihlášení do webové správy switche v přehledu systémových informací (System Information) u položky „Firmware Version“. Nic tím neměníte.

Pokud máte povolený přístup přes SSH, po přihlášení stačí příkaz, který verzi jen vypíše:

show version

Rozhoduje číslo v závorce. Pokud je tam .1 nebo .2 (například 2.90(AAHK.2)C0), nebo máte ještě starší firmware, switch je zranitelný. Opravená je až verze s .3, tedy 2.90 Patch 3.

Zároveň si ověřte, jestli webová správa switche není dostupná z internetu, například přes přesměrování portů na routeru nebo firewallu, a ze kterých vnitřních sítí se k ní dá dostat.

Jak to opravit

Opravou je firmware 2.90 Patch 3. Každý model má vlastní verzi:

GS1900-8: 2.90(AAHH.3)C0
GS1900-8HP: 2.90(AAHI.3)C0
GS1900-10HP: 2.90(AAZI.3)C0
GS1900-16: 2.90(AAHJ.3)C0
GS1900-24: 2.90(AAHL.3)C0
GS1900-24E: 2.90(AAHK.3)C0
GS1900-24EP: 2.90(ABTO.3)C0
GS1900-24HPv2: 2.90(ABTP.3)C0
GS1900-48: 2.90(AAHN.3)C0
GS1900-48HPv2: 2.90(ABTQ.3)C0

Pozor: pokud jste po červnovém upozornění nasadili Patch 2, switche jsou stále zranitelné. Podle tabulek Zyxelu Patch 3 není zasažen žádnou z chyb, proto z jakékoli starší verze aktualizujte rovnou na něj.

Sepište všechny switche GS1900 ve firmě a jejich verze firmwaru.
Začněte těmi, jejichž správa je dostupná z internetu nebo z méně důvěryhodných sítí (hosté, Wi-Fi, běžní uživatelé).
Firmware stahujte jen z oficiálních stránek Zyxel pro přesný model. Kód v závorce musí odpovídat modelu.
Zálohujte konfiguraci switche.
Aktualizujte v servisním okně. Switch se restartuje a na chvíli vypadne síť i napájení zařízení přes PoE.
Po restartu ověřte verzi a funkčnost sítě.

Zyxel dočasné řešení neuvádí. Dokud switche neaktualizujete, omezte přístup k webové správě: nezpřístupňujte ji z internetu a povolte ji jen ze správcovské sítě (VLAN) nebo z IP adres správců.

Co když už jste mohli být napadeni

Při útocích, které popsala GreyNoise a cituje je Help Net Security, útočníci ze switchů kradli konfiguraci, informace o síti a hashe hesel správce. Zyxel konkrétní indikátory napadení nezveřejnil. Help Net Security doporučuje kromě aktualizace zvážit i hledání stop kompromitace.

Změňte hesla všech účtů na switchi a všude, kde se používá stejné heslo.
Porovnejte konfiguraci se starší zálohou: neznámé účty, změny VLAN, zrcadlení portů, SNMP komunity, přístupová pravidla.
Projděte logy switche a syslog, jestli se do správy nepřihlašoval někdo z neznámých adres.
Ve firewallu hledejte spojení z IP adresy switche do internetu. Switch běžně skoro nikam nekomunikuje.

Pokud najdete něco podezřelého, switch odpojte, obnovte do továrního nastavení, nahrajte Patch 3 a konfiguraci nastavte znovu nebo z ověřené zálohy z doby před útokem. Při nejasných nálezech nebo pokud switch drží kritickou část sítě, přizvěte odborníka na řešení incidentů.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.

Switche Zyxel GS1900: útočník z lokální sítě může spouštět příkazy, červnová oprava nestačí