Le correctif de juin laissait les commutateurs réseau Zyxel ouverts aux pirates

En fouillant l'infrastructure d'un groupe de pirates, des chercheurs de la société Binarly tombent sur une archive laissée accessible. À l'intérieur se trouve un programme Python volontairement rendu illisible, écrit pour s'attaquer aux commutateurs réseau Zyxel de la série GS1900. Ce sont de petits boîtiers qui relient entre eux les ordinateurs d'un bureau ou d'une PME.

Le 3 novembre, Zyxel a publié un avis de sécurité sur la faille correspondante, CVE-2026-107441. C'est une écriture en mémoire hors des limites prévues, dans le programme qui gère l'interface web du commutateur. Elle pourrait permettre à un attaquant connecté au réseau local, sans mot de passe, d'exécuter des commandes sur l'appareil en lui envoyant une requête piégée. Dix modèles sont concernés. Selon BleepingComputer, les micrologiciels corrigés sont disponibles depuis le 22 octobre.

Un correctif de juin qui ne fermait pas la porte

L'histoire commence par une méprise. L'attaque a d'abord été rattachée à une autre faille, CVE-2026-7273, que Zyxel avait corrigée le 16 juin. Mais le 28 septembre, Binarly constate que le programme fonctionne toujours contre les dix versions censées être protégées. D'après BleepingComputer, le correctif de juin ajoutait bien des contrôles contre les débordements de mémoire. Les attaquants pouvaient pourtant les contourner en faussant un compteur de paramètres avant la vérification. Binarly a prévenu Zyxel le 29 septembre, et le fabricant a confirmé le problème le 11 octobre.

Le nouveau micrologiciel limite la taille des paramètres et vérifie leur nombre avant de les copier en mémoire. Une question reste sans réponse : l'attaque a-t-elle été conçue pour déjouer le correctif de juin, ou visait-elle une faille voisine que ce correctif avait oubliée ?

Près de 1 000 appareils piratés dans 48 pays

La menace n'a rien de théorique. La société GreyNoise, qui observe le trafic malveillant sur Internet, a vu les premières attaques vers le 17 août et les a rendues publiques le 21 septembre. Elle les attribue à un groupe qu'elle soupçonne d'être sinophone et qu'elle surnomme Kapibala. Elle compte 996 appareils compromis dans 48 pays. Une fois aux commandes, les pirates téléchargeaient un script qui collectait la configuration du commutateur, l'empreinte (le « hash ») du mot de passe administrateur et des informations sur le réseau. GreyNoise relie ce groupe à la campagne Red Heron, déjà décrite par Acronis. Le même 21 septembre, l'agence américaine de cybersécurité CISA ajoutait CVE-2026-7273 à son catalogue des failles activement exploitées.

Le scénario rappelle celui de Fortinet, dont une faille corrigée en avril a servi à cacher un implant dans des pare-feu : un équipement réseau réputé à jour n'est pas forcément protégé.

Les versions à installer, même après la mise à jour de juin

Les micrologiciels vulnérables sont les versions 2.90(…2)C0 et antérieures. Voici les versions corrigées indiquées par Zyxel :

• GS1900-8 : 2.90(AAHH.3)C0 ;
• GS1900-8HP : 2.90(AAHI.3)C0 ;
• GS1900-10HP : 2.90(AAZI.3)C0 ;
• GS1900-16 : 2.90(AAHJ.3)C0 ;
• GS1900-24 : 2.90(AAHL.3)C0 ;
• GS1900-24E : 2.90(AAHK.3)C0 ;
• GS1900-24EP : 2.90(ABTO.3)C0 ;
• GS1900-24HPv2 : 2.90(ABTP.3)C0 ;
• GS1900-48 : 2.90(AAHN.3)C0 ;
• GS1900-48HPv2 : 2.90(ABTQ.3)C0.

Zyxel ne fournit de correctifs que pour les modèles encore couverts par son support de sécurité. Au-delà de la mise à jour, quelques réflexes :

• réservez l'interface d'administration à un réseau d'administration séparé et ne l'exposez jamais sur Internet ;
• changez le mot de passe administrateur après la mise à jour, puisque les pirates en récupéraient l'empreinte ;
• vérifiez que la configuration du commutateur n'a pas été modifiée ;
• remplacez les modèles qui ne reçoivent plus de correctifs.

Reste à voir si la CISA ajoutera la nouvelle faille à son catalogue, ce qui confirmerait officiellement son exploitation.