CVE-2026-107441: falha no Zyxel GS1900 já é explorada
A Zyxel publicou em 3 de novembro um aviso oficial para a CVE-2026-107441, falha de severidade alta (CVSS 3.1 8.8) nos switches gerenciáveis da linha GS1900. Pesquisadores da Binarly encontraram um exploit funcional hospedado em servidor de atacante e confirmaram que ele contorna o patch que a própria Zyxel lançara em junho para a falha anterior, a CVE-2026-7273 — ou seja, switches já corrigidos continuam vulneráveis.
O que aconteceu
O problema está no dispatcher.cgi, componente que processa requisições HTTP da interface web de administração do GS1900. Ele copia cada parâmetro de um POST para um buffer de tamanho fixo sem validar tamanho nem quantidade de parâmetros. Um atacante não autenticado na rede local (ou adjacente) pode enviar uma requisição manipulada, corromper memória e executar comandos do sistema operacional com privilégio de root — sem precisar de login.
A falha foi descoberta pelos pesquisadores Fernando Mercês e Yegor Vasilenko, da Binarly (aviso BRLY-2026-057), ao analisarem um exploit já em uso real contra dispositivos GS1900. Em setembro, a GreyNoise já havia relatado que atacantes roubaram dados de 996 switches GS1900 em 48 países explorando a CVE-2026-7273 — falha que a CISA adicionou ao catálogo KEV em 21 de setembro, com apenas três dias de prazo para correção. Segundo a GreyNoise, 564 dos equipamentos comprometidos ainda usavam credenciais de fábrica. A CVE-2026-107441 mostra que o mesmo tipo de ataque funciona mesmo em firmware já corrigido.
Até a publicação desta notícia, a CVE-2026-107441 ainda não constava no catálogo KEV da CISA — apenas a CVE-2026-7273 original está listada.
Quem é afetado
Dez modelos da linha GS1900, em firmware 2.90(xxxx.2)C0 e anteriores:
- GS1900-8 — corrigido em 2.90(AAHH.3)C0
- GS1900-8HP — corrigido em 2.90(AAHI.3)C0
- GS1900-10HP — corrigido em 2.90(AAZI.3)C0
- GS1900-16 — corrigido em 2.90(AAHJ.3)C0
- GS1900-24 — corrigido em 2.90(AAHL.3)C0
- GS1900-24E — corrigido em 2.90(AAHK.3)C0
- GS1900-24EP — corrigido em 2.90(ABTO.3)C0
- GS1900-24HPv2 — corrigido em 2.90(ABTP.3)C0
- GS1900-48 — corrigido em 2.90(AAHN.3)C0
- GS1900-48HPv2 — corrigido em 2.90(ABTQ.3)C0
A Zyxel só libera patch para modelos ainda dentro do período de suporte a vulnerabilidades; produtos fora dessa lista não recebem correção.
O que fazer agora
- Confirme o modelo e a versão de firmware do seu GS1900 e atualize para a build corrigida correspondente na tabela acima, disponível no site da Zyxel.
- Enquanto não atualizar, tire a interface web do switch do alcance de redes não confiáveis e restrinja o acesso a uma VLAN de gerência isolada — não há outra mitigação documentada pela Zyxel.
- Troque toda credencial padrão de fábrica. A GreyNoise encontrou centenas de switches comprometidos justamente por login/senha default.
- Se o switch já esteve exposto à internet ou a uma rede não confiável antes do patch, trate-o como potencialmente comprometido: revise logs, redefina credenciais e, se possível, refaça a configuração do zero.
Perguntas frequentes
Existe prazo oficial da CISA para corrigir a CVE-2026-107441?
Não, pelo menos até a publicação desta notícia. O prazo de três dias já emitido pela CISA valeu para a falha anterior, CVE-2026-7273, listada no KEV desde 21 de setembro.
Atualizar para o firmware de junho (que corrigiu a CVE-2026-7273) já protege o switch?
Não. É exatamente esse firmware que a CVE-2026-107441 contorna. Só a build mais nova, lançada em 3 de novembro, fecha as duas falhas.
Preciso de acesso físico ao switch para explorar a falha?
Não. Basta estar na rede local ou em uma rede adjacente ao switch e enviar uma requisição HTTP manipulada; não é exigida autenticação.
Dá para saber se meu switch já foi comprometido?
Não há um indicador único documentado. Se o equipamento esteve com a interface web exposta à internet ou com credencial padrão antes do patch, o mais seguro é tratá-lo como comprometido e refazer a configuração.
Conclusão
A CVE-2026-107441 reforça um padrão que já apareceu antes em equipamento de rede: corrigir a CVE anterior não encerrou o risco, porque o exploit em uso real contorna justamente aquele patch. Quem opera GS1900 deve atualizar para a build de 3 de novembro, isolar a interface de gerência em VLAN própria e tratar qualquer switch exposto antes do patch como comprometido até prova em contrário.
