Zyxel 交换机遭零日漏洞攻击，近千台设备被入侵

安全公司Binarly披露，此前针对Zyxel GS1900系列交换机的攻击并非利用已修补的旧漏洞，而是利用了一个当时尚未公开的零日漏洞。该漏洞编号为CVE-2026-107441，CVSS评分8.8，攻击者借此入侵了约1000台设备。

Zyxel已于10月23日推出修复程序，并在11月3日发布安全公告。Binarly指出，由于攻击者使用的是另一个漏洞，针对旧漏洞CVE-2026-7273的补丁并未能阻止设备被入侵。

漏洞详情

按照该公司的描述，问题出在Zyxel GS1900系列交换机固件的CGI程序中，属于越界写入缺陷。

Zyxel的说法是，未通过身份验证的攻击者可以借助构造的HTTP请求利用该缺陷，最终实现操作系统命令执行。受影响的产品范围包括10款GS1900交换机型号。

这一漏洞在攻击发生时尚未公开，因此属于零日漏洞。攻击者利用它入侵了约1000台设备，规模与今年8月那轮攻击相当。

攻击归因变化

此前的公开判断来自GreyNoise。该公司在9月21日警告称，有黑客利用Zyxel在6月修补的漏洞CVE-2026-7273，在8月攻陷了大约1000台设备，并将攻击归因于中国黑客组织。GreyNoise把相关活动与被称为Red Heron的中国威胁行为者联系起来，Acronis此前曾发现该行为者在大规模攻击活动中针对Gitea实例。CISA也将CVE-2026-7273列入其已知被利用漏洞目录。

Binarly的最新分析改变了这一技术判断。该公司表示，攻击者并未针对CVE-2026-7273，而是部署了Acronis分析过的Jitterly和Sixzut恶意软件的变种，其利用代码指向一个此前未知的漏洞。

Binarly在博客中写道，由于威胁行为者利用的是另一个漏洞，针对CVE-2026-7273的补丁始终无效，对保护设备免受该行为者利用没有起到作用。这一结论意味着，此前基于旧漏洞的处置措施并未覆盖真实的攻击入口。

厂商修复时间线

Binarly于9月29日将发现通报给Zyxel，厂商在两周后确认了这个新漏洞，即后来的CVE-2026-107441。

从时间顺序看，旧漏洞CVE-2026-7273的补丁在6月已经发布，但攻击者在8月仍能通过另一条路径入侵设备，直到10月下旬新补丁才到位。

安全公司的建议

Binarly借这一案例强调软件漏洞核查方式的问题。该公司认为，此类事件说明需要更可靠的手段来检查软件中的漏洞，安全公告和版本号虽然有帮助，但不能被盲目信任。

该公司表示，判断软件组件是否包含漏洞的确定性方法，是查看其二进制代码。这一主张针对的正是公告信息与实际代码状态之间可能存在的偏差。

对于使用GS1900系列交换机的用户，来源明确的信息是厂商已于10月23日提供修复，11月3日发布公告；Binarly则指出旧漏洞补丁无法阻止本轮攻击。

要点

• 漏洞编号为CVE-2026-107441，CVSS评分8.8
• 漏洞影响10款GS1900交换机型号
• 约1000台设备在8月被入侵
• Zyxel于10月23日发布修复，11月3日发布公告
• Binarly于9月29日向Zyxel通报该漏洞