Zyxel GS1900 交换机零日漏洞遭利用，996 台设备受影响

Zyxel 于 2026 年 11 月 3 日发布安全公告，披露 GS1900 系列管理型交换机存在预认证越界写入漏洞 CVE-2026-107441。据研究机构和媒体报道，攻击者已利用该漏洞入侵 48 个国家的 996 台交换机，攻击活动约始于 8 月 17 日。

Zyxel 已于 10 月 22 日发布修复固件，比公告公开早十二天。研究人员指出，此前为旧漏洞 CVE-2026-7273 打过补丁的设备仍可被利用，部分管理员因此误以为风险已消除。

漏洞如何被利用

该漏洞位于交换机 Web 管理界面的 CGI 程序中。Binarly 将问题定位到 dispatcher.cgi：攻击者发送特制的 HTTP 请求，即可越过内存缓冲区边界写入数据，整个过程无需登录。据 The Hacker News 报道，该缺陷可导致未授权的 root 命令执行，成功利用后攻击者能以 root 权限在操作系统层面执行命令。

Zyxel 给出的修复方式是在把数据复制进内存之前限制参数长度并校验参数数量，从而阻断已报告的利用路径。这一修补方式也解释了旧补丁为何未能覆盖该问题：在一条代码路径上加入的边界检查，无法保护以不同方式解析同一请求的另一条路径。

Zyxel 将该漏洞评为 CVSS 8.8 的越界写入，随 CVE 记录公布的评分向量为 CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H，即低复杂度、无需权限、无需用户交互，对机密性、完整性和可用性均有高影响。向量中的 AV:A 表示相邻网络，但报告中的受害设备分布在 48 个国家，说明不少管理界面可从本地网络之外访问。

受影响型号与修复固件

公告点名了十款 GS1900 型号。固件版本以 .2C0 或更早结尾的设备存在漏洞，Zyxel V2.90 Patch 3 发布中以 .3C0 结尾的构建是已确认的修复版本。多个来源确认了其中八款型号的修复构建：GS1900-8 由 2.90(AAHH.2)C0 升至 2.90(AAHH.3)C0，GS1900-8HP 对应 AAHI，GS1900-10HP 对应 AAZI，GS1900-16 对应 AAHJ，GS1900-24 对应 AAHL，GS1900-24E 对应 AAHK，GS1900-24EP 对应 ABTO，GS1900-48 对应 AAHN，均从 .2C0 换为 .3C0。

公告还覆盖 GS1900-24HPv2 和 GS1900-48HPv2，据报道两者分别获得 ABTP.3 和 ABTQ.3 构建。Zyxel 尚未公布该系列的停售或停止支持日期，这些交换机仍在活跃使用中。Zyxel 社区 11 月初的一份部署记录显示，有酒店网络以 GS1900-24HPv2 和 GS1900-24 搭建，反映该硬件在小型企业网络中的分布范围。

补丁时间线与误判

各来源给出的日期并不完全一致。Zyxel 自己的发布记录列出 2026 年 5 月 22 日的 2.90(Axxx.2) 构建，Binarly 的文章则称 CVE-2026-7273 的修复时间为 6 月 16 日。一份 Zyxel 台湾升级指南把 .3 固件的构建日期列为 10 月 5 日，媒体报道则称发布于 10 月 22 日。Binarly 的根因分析从 2025 年 3 月 25 日发布的 2.90(AAHH.1)C0 开始。

据 GreyNoise 观察，名为 Kapibala 的攻击者自 2026 年 8 月 17 日起利用 GS1900 交换机，这被视为该轮攻击活动的起点。9 月 21 日，GreyNoise 在博客中把利用行为归因于 CVE-2026-7273，这一错误标签成为混淆的源头。据 Binarly 称，CISA 的已知被利用漏洞目录也做了同样的关联。

Binarly 随后发现两处不符之处，并在已打补丁的固件上测试利用代码，结果仍然成功。据报道，Binarly 于 9 月 29 日向 Zyxel 通报了新漏洞；若属实，厂商修复距通报约三周，距攻击开始约九周，而公开披露又在补丁之后十二天。有报道称 Zyxel 于 10 月 11 日在内部确认了这一独立漏洞，但该日期仅出现在部分报道中。11 月 3 日，Zyxel 公告、CVE 记录和 Binarly 公告同时公开；11 月 5 日 Binarly 更新称该缺陷被作为零日利用，即使固件已修复旧 CVE 也不例外；11 月 6 日，泰国国家 CERT 发布警报。

误判的实际影响来自漏洞处置流程。许多团队按 KEV 目录筛选待办事项，修补列出的 CVE 后即关闭工单，这一流程默认一个 CVE 对应一种利用方式。此次利用行为藏在一个 Zyxel 已修复的 CVE 之后，工单关闭了，入口却仍然敞开。

攻击活动与幕后组织

GreyNoise 以 Kapibala 之名追踪该操作者，报道将其与代号 Red Heron 的更大范围活动联系起来。研究人员称该行为者疑似讲中文，但这只是评估，没有任何政府或攻击者本人予以确认。报道也未厘清 Kapibala 与 Red Heron 是同一组织、关联组织，还是不同团队追踪的重叠活动。Binarly 的文章点名了与入侵相关的两个恶意软件家族 Jitterly 和 Sixzut，并描述了投递它们的利用方式。

996 台这一数字是基于研究人员观测的估计，并非 Zyxel 独立审计的计数，宜理解为约一千台设备而非精确普查。48 个国家这一分布更值得注意：对暴露在互联网上的管理页面进行机会性扫描，会产生这样的扩散范围，而针对少数行业的定向行动不会。这一模式更接近先尽可能收集可触及的目标、再对受害者分类的扫荡式行动。

设备被窃取的数据

报道称入侵暴露了设备配置、网络信息和经过哈希处理的 root 凭据。这三类数据各自带来不同风险：配置与网络信息可帮助攻击者了解内网结构，哈希凭据则可能成为进一步横向移动的素材。

需要区分两层信息。Zyxel 的公告确认了漏洞本身并列出修复构建，但按其自身页面，并未确认受影响设备数量，也未点名攻击者；这些细节来自 Binarly、GreyNoise 及引用它们的媒体。对事件响应而言，厂商公告告诉你该装哪个固件，研究人员的遥测数据则告诉你是否已有人进入过设备。

要点

• 漏洞编号为 CVE-2026-107441，属预认证越界写入
• 受影响设备为 GS1900 系列共十款型号
• 修复固件为 V2.90 Patch 3 的 .3C0 版本
• 攻击活动约始于 2026 年 8 月 17 日
• 受影响设备分布在 48 个国家