CISA зобов’язала федеральні агентства закрити вразливість у комутаторах Zyxel

Зловмисники активно експлуатують критичну вразливість у комутаторах серії Zyxel GS1900, повідомило Агентство з кібербезпеки та інфраструктурної безпеки США (CISA).

Уразливість CVE-2026-7273 пов’язана з переповненням буфера в стеку CGI-програми. Вона дає змогу зловмисникам без привілеїв у локальній мережі виконувати команди операційної системи через спеціально сформовані HTTP-запити.

Zyxel випустила оновлення безпеки для цієї проблеми 16 червня та закликала користувачів оновити мікропрограму для оптимального захисту.

Компанія ще не оновила своє повідомлення, щоб підтвердити активну експлуатацію вразливості. Водночас у понеділок CISA додала CVE-2026-7273 до каталогу відомих експлуатованих вразливостей (KEV) і зобов’язала федеральні цивільні виконавчі органи США захистити свої комутатори від поточних атак до четверга. Цю вимогу встановлює обов’язкова операційна директива BOD 26-04.

«Такий тип вразливостей часто використовують як вектор атак зловмисники й він становить значний ризик для федеральної інфраструктури», — заявили в агентстві.

CISA наголосила, що BOD 26-04 поширюється лише на федеральні цивільні виконавчі органи, але закликала всі організації застосовувати ризик-орієнтоване керування вразливостями та першочергово усувати проблеми з каталогу KEV.

Уразливі моделі та версії

• GS1900-8 — версія 2.90(AAHH.1)C0 і раніша; виправлена версія: 2.90(AAHH.2)C0.
• GS1900-8HP — версія 2.90(AAHI.1)C0 і раніша; виправлена версія: 2.90(AAHI.2)C0.
• GS1900-10HP — версія 2.90(AAZI.1)C0 і раніша; виправлена версія: 2.90(AAZI.2)C0.
• GS1900-16 — версія 2.90(AAHJ.1)C0 і раніша; виправлена версія: 2.90(AAHJ.2)C0.
• GS1900-24 — версія 2.90(AAHL.1)C0 і раніша; виправлена версія: 2.90(AAHL.2)C0.
• GS1900-24E — версія 2.90(AAHK.1)C0 і раніша; виправлена версія: 2.90(AAHK.2)C0.
• GS1900-24EP — версія 2.90(ABTO.1)C0 і раніша; виправлена версія: 2.90(ABTO.2)C0.
• GS1900-24HPv2 — версія 2.90(ABTP.1)C0 і раніша; виправлена версія: 2.90(ABTP.2)C0.
• GS1900-48 — версія 2.90(AAHN.1)C0 і раніша; виправлена версія: 2.90(AAHN.2)C0.
• GS1900-48HPv2 — версія 2.90(ABTQ.1)C0 і раніша; виправлена версія: 2.90(ABTQ.2)C0.

CISA не оприлюднила подробиць атак із використанням CVE-2026-7273. Водночас компанія GreyNoise у звіті, опублікованому в понеділок, повідомила, що зафіксувала перші ознаки експлуатації минулого четверга.

За даними GreyNoise, імовірний китайськомовний зловмисник скомпрометував майже 1000 комутаторів Zyxel GS1900 у межах кампанії, спрямованої також проти понад десятка інших вразливостей у широкому спектрі програмного забезпечення та технологічних продуктів.

«GreyNoise виявила, що зловмисник атакував комутатори ZyXEL GS1900 Smart Managed Switches по всьому світу, використовуючи новий експлойт для CVE-2026-7273. Станом на 17 вересня 2026 року це перший публічно задокументований випадок експлуатації цієї вразливості у реальних атаках», — повідомила компанія. За її даними, зловмисник викрав конфіденційні дані з 996 комутаторів ZyXEL у 48 країнах.

Пристрої Zyxel часто стають цілями атак, оскільки багато інтернет-провайдерів у всьому світі надають їх як стандартне обладнання під час підключення нових інтернет-послуг.

У лютому компанія заявила, що не планує випускати виправлення для двох активно експлуатованих zero-day вразливостей (CVE-2024-40891 і CVE-2024-40891) у маршрутизаторах, життєвий цикл яких завершився, але які досі продаються онлайн. Натомість Zyxel наполегливо рекомендувала користувачам замінити ці маршрутизатори на новіші моделі з уже виправленою мікропрограмою.

Наразі CISA відстежує 13 вразливостей Zyxel, що впливають на маршрутизатори, комутатори, міжмережеві екрани та NAS-пристрої компанії й були або досі експлуатуються у реальних атаках.

Zyxel заявляє, що її мережевими рішеннями користуються понад 1 мільйон компаній у 150 країнах і ринках по всьому світу.