Zyxel GS1900: Bản vá lỗi không ngăn được khai thác zero-day
"Zyxel GS1900 switches were found vulnerable to a zero-day exploit (CVE-2026-107441) allowing unauthenticated remote command execution with root privileges. A previous patch (2.90 Patch 2, addressing CVE-2026-7273) did not fully resolve the issue. Zyxel has released firmware 2.90 Patch 3 for 10 GS1900 models to address the vulnerability."
Lỗ hổng cho phép thực thi lệnh root từ xa mà không cần xác thực, gây nguy cơ mất kiểm soát thiết bị và rò rỉ dữ liệu.
Các doanh nghiệp sử dụng switch Zyxel GS1900 có thể gặp phải gián đoạn dịch vụ, mất dữ liệu cấu hình, và ảnh hưởng đến hoạt động mạng nếu bị khai thác.
Zyxel đã phát hành firmware 2.90 Patch 3 cho 10 mẫu switch GS1900 để khắc phục lỗ hổng CVE-2026-107441, cho phép thực thi lệnh root từ xa mà không cần xác thực. Các nhà nghiên cứu tại Binarly phát hiện bản vá trước đó (2.90 Patch 2, khắc phục CVE-2026-7273) không giải quyết triệt để vấn đề.
Lỗ hổng này đặc biệt quan trọng với các doanh nghiệp Việt Nam sử dụng switch Zyxel GS1900 trong mạng nội bộ. Việc khai thác thành công có thể dẫn đến lộ thông tin cấu hình, mật khẩu root đã hash, và thông tin mạng. GreyNoise ghi nhận hoạt động khai thác trên 996 switch GS1900 vào tháng 8, cho thấy lỗ hổng đang bị lợi dụng thực tế.
Nguyên nhân gốc rễ nằm ở việc chương trình xử lý yêu cầu web không kiểm tra kích thước tham số đầu vào. Bản vá Patch 2 chỉ kiểm tra bộ đếm tham số sau khi đã sao chép tham số quá lớn, do đó không ngăn chặn được việc ghi đè bộ nhớ. Patch 3 khắc phục bằng cách kiểm tra bộ đếm trước khi sao chép và giới hạn kích thước bản sao.
Các mẫu switch bị ảnh hưởng và firmware tương ứng được liệt kê trong thông báo bảo mật của Zyxel. CISA đã đưa CVE-2026-7273 vào danh mục KEV, yêu cầu các cơ quan liên bang cập nhật lên Patch 2 trước ngày 24/9. Tuy nhiên, lỗ hổng mới (CVE-2026-107441) vẫn tồn tại trên Patch 2.
GreyNoise cho biết các kẻ tấn công đã tải lên một script thu thập dữ liệu, bao gồm cả thông tin đăng nhập mặc định (564 switch vẫn sử dụng). Nhóm này được liên kết với Red Heron, một nhóm được Acronis xác định là nói tiếng Trung Quốc.
Câu hỏi thường gặp
CVE-2026-107441 là gì?
CVE-2026-107441 là một lỗ hổng cho phép thực thi lệnh root từ xa trên switch Zyxel GS1900 mà không cần xác thực. Lỗ hổng này liên quan đến việc xử lý yêu cầu web và kiểm tra kích thước tham số đầu vào.
Patch 2 có khắc phục được lỗ hổng này không?
Không, Patch 2 chỉ khắc phục một phần của vấn đề. Các nhà nghiên cứu tại Binarly đã chứng minh rằng lỗ hổng vẫn tồn tại trên Patch 2 và có thể bị khai thác.
Các mẫu switch GS1900 nào bị ảnh hưởng?
10 mẫu switch GS1900 sau đây bị ảnh hưởng: GS1900-8, GS1900-8HP, GS1900-10HP, GS1900-16, GS1900-24, GS1900-24E, GS1900-24EP, GS1900-24HPv2, GS1900-48, GS1900-48HPv2.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc Zyxel phát hành Patch 3 cho thấy mức độ nghiêm trọng của lỗ hổng. Các doanh nghiệp Việt Nam đang sử dụng switch GS1900 cần cập nhật lên phiên bản firmware mới nhất ngay lập tức. Điều đáng chú ý là lỗ hổng này đã bị khai thác trong thực tế, và việc sử dụng mật khẩu mặc định làm tăng nguy cơ bị tấn công.