Zyxel corregge una falla degli switch GS1900 già usata negli attacchi

Il 3 novembre 2026 Zyxel ha pubblicato un avviso su una vulnerabilità degli switch della serie GS1900 (CVE-2026-107441), con firmware corretti per dieci modelli. Secondo BleepingComputer la falla era già usata in una campagna di attacchi prima che esistesse la correzione.

Che cosa è successo

Il difetto sta nel programma CGI che gestisce l'interfaccia web dello switch. Chi raggiunge quell'interfaccia dalla rete può inviare una richiesta HTTP costruita apposta ed eseguire comandi sul sistema, senza bisogno di credenziali. L'avviso di Zyxel non indica un punteggio CVSS e non parla di sfruttamento in corso.

Le prove dello sfruttamento vengono da altre fonti citate dalla testata. Binarly, società che si occupa di sicurezza del firmware, ha trovato l'exploit analizzando l'infrastruttura di un gruppo di attaccanti e lo ha segnalato a Zyxel il 29 settembre. In precedenza GreyNoise aveva osservato la stessa campagna da metà agosto e l'aveva attribuita a una falla più vecchia, corretta a giugno: secondo BleepingComputer l'exploit funzionava però anche sui firmware che includevano quella correzione. GreyNoise ha contato 996 switch compromessi in 48 Paesi. Gli attaccanti raccoglievano configurazioni, impronte (hash) delle password di root e informazioni sulla rete.

Non è ancora chiaro se l'exploit sia stato scritto per aggirare la patch di giugno o se sfrutti un difetto vicino che quella patch non chiudeva.

Modelli interessati

Secondo Zyxel: GS1900-8, GS1900-8HP, GS1900-10HP, GS1900-16, GS1900-24, GS1900-24E, GS1900-24EP, GS1900-24HPv2, GS1900-48 e GS1900-48HPv2, con firmware 2.90 fino alla revisione «.2)C0» compresa. Le versioni corrette terminano in «.3)C0», per esempio 2.90(AAHL.3)C0 per il GS1900-24. Il produttore dice che i modelli in commercio non elencati non sono coinvolti.

Cosa cambia per te

Gli switch GS1900 sono diffusi negli uffici piccoli e medi, spesso installati una volta e poi dimenticati. Se ne hai uno:

• Verifica modello e firmware dalla pagina di gestione dello switch e confrontali con la tabella dell'avviso Zyxel.
• Aggiorna il firmware alla versione corretta per il tuo modello, dopo aver salvato la configurazione. Non basta l'aggiornamento di giugno.
• Limita l'accesso alla gestione. L'interfaccia web non deve essere raggiungibile da Internet né da tutta la rete interna: meglio una rete di amministrazione separata o pochi indirizzi autorizzati.
• Se lo switch era esposto, cambia la password di amministrazione dopo l'aggiornamento e controlla la configurazione per voci che non riconosci, perché le credenziali potrebbero essere state copiate.
• Se la rete la gestisce un fornitore, chiedigli se ha GS1900 installati e quando li aggiorna.

Se non usi switch Zyxel non devi fare nulla. Per un controllo degli apparati di rete puoi vedere i servizi di reti e sicurezza o l'assistenza aziendale.