CVE-2026-7273: falha no Zyxel GS1900 sob exploração ativa

A Zyxel confirmou exploração ativa da falha CVE-2026-7273 (CVSS 8,8) em dez modelos da série de switches gerenciáveis GS1900. A empresa de inteligência de ameaças GreyNoise documentou 996 dispositivos comprometidos em 48 países desde 17 de agosto de 2026, e a CISA incluiu a falha no catálogo Known Exploited Vulnerabilities em 21 de setembro — com prazo de correção para agências federais dos EUA encerrando hoje, 24 de setembro.

O que aconteceu

A falha é um stack-based buffer overflow no CGI da interface web de gerenciamento dos switches GS1900. Um atacante sem credenciais, mas com acesso à mesma rede local (LAN), consegue executar comandos arbitrários no sistema operacional do equipamento enviando uma requisição HTTP especialmente montada — sem precisar de login nem interação do usuário.

O patch já existe desde junho de 2026, quando a Zyxel publicou o aviso original. O problema é que, três meses depois, a maioria dos switches em campo continuava com o firmware vulnerável — e foi isso que a GreyNoise flagrou em agosto: uma campanha ativa varrendo a internet por interfaces de gerenciamento expostas.

Quem é afetado

Firmware 2.90(XXXX.1)C0 e anteriores nos dez modelos abaixo, cada um com sua própria versão corrigida:

• GS1900-8: de 2.90(AAHH.1)C0 para 2.90(AAHH.2)C0
• GS1900-8HP: de 2.90(AAHI.1)C0 para 2.90(AAHI.2)C0
• GS1900-10HP: de 2.90(AAZI.1)C0 para 2.90(AAZI.2)C0
• GS1900-16: de 2.90(AAHJ.1)C0 para 2.90(AAHJ.2)C0
• GS1900-24: de 2.90(AAHL.1)C0 para 2.90(AAHL.2)C0
• GS1900-24E: de 2.90(AAHK.1)C0 para 2.90(AAHK.2)C0
• GS1900-24EP: de 2.90(ABTO.1)C0 para 2.90(ABTO.2)C0
• GS1900-24HPv2: de 2.90(ABTP.1)C0 para 2.90(ABTP.2)C0
• GS1900-48: de 2.90(AAHN.1)C0 para 2.90(AAHN.2)C0
• GS1900-48HPv2: de 2.90(ABTQ.1)C0 para 2.90(ABTQ.2)C0

A Zyxel só liberou correção para modelos dentro do período de suporte de vulnerabilidades; quem opera unidade fora dessa janela precisa checar a página do produto para confirmar se ainda recebe patch.

O que os invasores estão fazendo

Segundo a GreyNoise, o ataque extrai configuração, informações de rede e o hash da credencial root do switch comprometido — e, em 564 dos 996 casos, essa credencial ainda era a de fábrica, o que deu acesso administrativo imediato ao invasor. A ferramenta usada é um script Python ofuscado com PyArmor, e a atribuição aponta para um ator de língua chinesa já ligado a explorações anteriores em WordPress (CVE-2026-63030, CVE-2026-60137) e Gitea (CVE-2026-60004). A maior concentração de vítimas está na Itália, nos Estados Unidos, em Taiwan, na Coreia do Sul e em países da União Europeia.

O que fazer agora

1. Levante todos os switches GS1900 na rede e confirme modelo e versão de firmware pela interface web ou pelo comando show system-information via console/SSH.
2. Baixe o firmware corrigido correspondente ao modelo no portal oficial da Zyxel e aplique a atualização.
3. Troque a senha da conta administrativa/root se ela ainda for a de fábrica — é o vetor que deu acesso root em mais da metade dos casos documentados.
4. Tire a interface de gerenciamento web da LAN aberta ou de qualquer exposição à internet: restrinja o acesso a uma VLAN de management dedicada e, se possível, a uma lista de IPs administrativos.
5. Depois de atualizar, audite os logs em busca de contas administrativas novas ou alterações de configuração não reconhecidas — sinal de que o switch já foi comprometido antes do patch.

Perguntas frequentes

O ataque precisa de acesso físico à rede?
Não. Basta alcançar a interface HTTP de gerenciamento do switch na mesma LAN — o que inclui management exposto via port-forward, DMZ mal configurada ou VLAN de gestão sem segmentação adequada.

Meu switch está fora do período de suporte e não recebe o patch — e agora?
Isole a interface de gerenciamento em uma rede fora de alcance de qualquer segmento não confiável e avalie a substituição do equipamento; sem atualização de firmware, a mitigação de rede é a única defesa.

Como saber se meu switch já foi comprometido?
Verifique se a senha root ainda é a de fábrica, procure contas administrativas desconhecidas e compare a configuração atual com o último backup confiável.

Conclusão

O padrão aqui não é novidade, mas continua sendo o que mais derruba equipamento de borda: patch disponível há meses, credencial de fábrica mantida, interface de gestão acessível de onde não devia. Quem administra switches GS1900 tem hoje, 24 de setembro, o prazo que a própria CISA usa como referência para agências federais — vale tratar como prazo próprio.