Een Zyxel GS1900 zero-day laat zien hoe gevaarlijk het kan zijn wanneer een eerste beveiligingsupdate een exploit niet echt neutraliseert. Binarly meldt dat aanvallers al een werkende methode hadden om via de webmanagementinterface van getroffen switches commando’s uit te voeren, zonder in te loggen — met root-rechten als gevolg.
Volgens de onderzoekers bleef de uitrol van een eerdere firmwareversie de deur dus niet sluiten. Zyxel publiceerde inmiddels nieuwe firmware voor tien GS1900-modellen om een later geïdentificeerde, afzonderlijke kwetsbaarheid te verhelpen.
Wat er volgens onderzoekers misgaat bij de eerdere patch
De eerdere fix waar veel apparaten op leunden, kreeg vorm in firmwareversie 2.90 Patch 2. Die update werd gekoppeld aan een fout die in een adviserende publicatie werd genoemd als CVE-2026-7273. Binarly stelt echter dat de exploit die aanvallers gebruikten ook werkte wanneer alleen deze patch was toegepast.
De kern van het probleem zit volgens Binarly in de manier waarop de switch webverzoeken verwerkt. Het gaat om een out-of-bounds write: bij het verwerken van parameters wordt data buiten het gereserveerde geheugengebied weggeschreven. Hierdoor kan een aanvaller de controle over een volgende functiestap manipuleren en uiteindelijk zijn eigen commando’s laten uitvoeren.
Belangrijk is dat de check die in Patch 2 werd toegevoegd volgens Binarly te laat komt. De oversized parameter is volgens de analyse eerst gekopieerd naar het kwetsbare gebied, waarna de teller/check pas wordt uitgevoerd. Op dat moment heeft de aanvaller de waarde al beïnvloed, waardoor de extra controle het misbruik niet stopt.
De nieuwe kwetsbaarheid achter de Zyxel GS1900 zero-day
Zyxel brengt met 2.90 Patch 3 een opvolgende firmware uit om het gat te dichten dat aan de exploit ten grondslag ligt. Die nieuwe fout wordt in de advisering als een afzonderlijke kwetsbaarheid beschreven: CVE-2026-107441.
Volgens Binarly wordt de nieuwe beveiliging in Patch 3 anders uitgevoerd: de teller wordt eerder gecontroleerd en het kopiëren van parameters wordt beperkt. Daardoor zou de kwetsbare schrijfbewerking niet meer op dezelfde manier kunnen plaatsvinden.
Zyxel kondigde deze Patch 3 aan in een advisory die volgens het bericht eerder deze week verscheen, met de firmware builds die later aan bod kwamen. De publicatiedatum van de relevante informatie rond de kwetsbaarheid wordt in het bronbericht genoemd op 23 oktober.
Wie moet welke firmware-update doen?
De technische details uit de advisering zijn modelgericht: de getroffen omgeving draait om verschillende GS1900-switches. In de publicatie van Zyxel staat per model aangegeven welke firmwarestatus nodig is.
In essentie geldt: switches die draaien op Patch 2 of eerder moeten naar Patch 3 voor hun specifieke model. De nieuwe builds staan volgens de bron ook met release notes bij de firmware-uitrol.
Opvallend is dat het bericht aangeeft dat er geen workaround wordt genoemd voor eigenaren die niet direct kunnen updaten. Daarnaast geeft de advisering niet duidelijk aan of een update een mogelijk al aanwezige aanvalsimpact (zoals blijvende toegang) automatisch verwijdert.
Waarom de aanval zo breed mogelijk kan zijn
De exploit zou niet afhankelijk zijn van een gebruikersaccount. Binarly beschrijft dat een aanvaller alleen netwerktoegang tot de managementservice nodig heeft. In de advisering van de fabrikant wordt het omschreven als een LAN-based, unauthenticated attacker scenario.
In de bron wordt ook duidelijk gemaakt dat de onderzoekers de ernst hoog inschatten: Binarly geeft een CVSS-score van 9,8, terwijl de CVE-entry volgens het bericht uitkomt op 8,8. Ook wordt genoemd dat de commando’s onder root-rechten worden uitgevoerd.
Wat weten we over de aanvallen in het wild?
GreyNoise rapporteert dat aanvallers data hebben verzameld van 996 GS1900-switches rond 17 augustus. De link met CVE-2026-7273 wordt in het rapport gelegd doordat het patroon van de activiteit volgens de onderzoekers matcht met de exploit die Binarly beschrijft.
Van de 996 betroffen switches draaide 564 nog met factory-default credentials. Dat suggereert dat ten minste een deel van de apparaten in een toestand verkeerde die extra misbruik kan vergemakkelijken, hoewel de exploit volgens de beschrijving juist ook zonder authenticatie zou werken via de webinterface.
De aanval zou volgens het GreyNoise-rapport leiden tot het downloaden van een data-collection script en het achterlaten van verzamelde informatie die later kan worden opgehaald. Het gaat onder meer om configuratie-informatie, gehashte root-credentials en netwerkgegevens.
Er staat in het bronbericht ook bij dat noch Binarly noch GreyNoise bevestigt welke firmwareversies de getroffen switches exact draaiden. Bovendien meldt het bericht dat de advisering van Zyxel niet expliciet stelt of CVE-2026-107441 zelf al is misbruikt.
Wat was de rol van CISA en de KEV-lijst?
De eerdere kwetsbaarheid CVE-2026-7273 is door CISA opgenomen in de Known Exploited Vulnerabilities (KEV)-catalogus. Volgens het bronbericht gebeurde dat op 21 september, waarna federale organisaties een termijn kregen tot 24 september om de vendor-mitigatie te implementeren (de Patch 2 firmware).
Die opname kwam volgens het bericht dezelfde dag dat de aanvallen publiek werden. Dat maakt de situatie extra urgent: als een fix in de praktijk niet afdoende blijkt, kan een KEV-implementatie alleen niet genoeg zijn om het risico weg te nemen.
Wat je nu praktisch moet doen
Het bronbericht vermeldt geen concrete herstelstappen in de vorm van een generieke “schoonmaak” procedure. Daarom is het logisch om je aanpak te baseren op drie pragmatische vragen: heb je het juiste firmware-niveau, wat zegt je monitoring, en heb je aanwijzingen voor compromis?
- Updaten naar Patch 3: controleer of je GS1900-switches op een Patch 2 (of eerder) versie draaien en upgrade dan naar de Patch 3 build die bij jouw model hoort.
- Controleer managementtoegang: omdat de exploit via de webmanagementinterface werkt zonder inloggen, wil je netwerktoegang tot die interface beperken tot alleen noodzakelijke beheerdersnetwerken.
- Beoordeel mogelijke inbreuk: de bron noemt dat aanvallers scripts konden plaatsen en data konden verzamelen. Kijk daarom ook naar signalen zoals ongebruikelijke downloads, onverwachte configuratiewijzigingen of afwijkend verkeer.
Vergelijkbare patronen: waarom “gepatcht” soms niet genoeg is
Dit incident laat zien hoe updates soms onvolledig kunnen blijken wanneer de exploit een variant van het probleem aanspreekt of wanneer een correctie net niet op tijd of op de juiste plek wordt toegepast. Dergelijke situaties zie je terug bij kwetsbaarheden waarbij een fout in de implementatie in het systeem meerdere logisch verschillende kanten heeft.
Als je bredere context zoekt rond patchen, misbruik en het herkennen van exploitsporen, dan zijn onderstaande artikelen mogelijk relevant:
- CISA waarschuwt voor exploit ondanks eerdere maatregelen bij Apple’s beveiligde fout
- LLMjacking: wat het kost en hoe je het herkent (over risico’s van misbruik van interfaces)
- Agent runtime security: waarom één laag niet genoeg is
Conclusie
De Zyxel GS1900 zero-day rondom de webmanagementinterface toont een harde les: een eerdere patch kan een exploit alsnog laten werken wanneer de onderliggende fout niet volledig is afgedekt. Zyxel heeft daarom met 2.90 Patch 3 nieuwe firmware uitgebracht voor tien GS1900-modellen, gericht op CVE-2026-107441.
Wie GS1900-switches beheert, doet er verstandig aan om direct te controleren welke firmwareversie actief is en zo snel mogelijk over te gaan naar de Patch 3 build voor het betreffende model. Daarnaast is het cruciaal om te beoordelen of je netwerkbeheerinterface voldoende beperkt is en of er aanwijzingen zijn voor eerder misbruik.
Bron: https://thehackernews.com/2026/11/zyxel-gs1900-patch-fails-to-block-zero.html
