La vulnerabilidad Zyxel GS1900 registrada como CVE-2026-107441 dejó a un atacante ejecutar comandos del sistema sin contraseña alguna. El saldo ya tiene cifra: 996 interruptores de red intervenidos en 48 países, con la configuración y las claves de administrador copiadas fuera de cada equipo.
Zyxel publicó su aviso de seguridad el 3 de noviembre y las correcciones están disponibles desde el 22 de octubre. El fallo vive en el programa CGI, el componente que atiende la interfaz web de gestión de la serie GS1900: una escritura fuera de los límites de memoria permite que una petición HTTP preparada se convierta en órdenes para el sistema operativo. Basta estar dentro de la red local (LAN) y alcanzar esa interfaz; no hace falta usuario ni clave.
La campaña quedó registrada por GreyNoise, que observa tráfico de ataque en internet. Sus sensores vieron la actividad desde el 17 de agosto y la atribuyen a un actor de habla china seguido con el nombre Kapibala. Cada interruptor comprometido descargaba una secuencia de comandos que copiaba tres cosas: la configuración completa del equipo, los datos de la red donde opera y el resumen cifrado de la contraseña de root, la cuenta con control total. Italia, Estados Unidos y Taiwán concentran la mayor parte de las víctimas contadas por GreyNoise.
Un dato ordena la escena mejor que cualquier adjetivo: 564 de los 996 equipos intervenidos conservaban las credenciales de fábrica, las que el interruptor trae impresas de origen y que nadie cambió tras instalarlo. El código de ataque ni siquiera necesitaba esa puerta, porque entraba por la vulnerabilidad Zyxel GS1900 del CVE-2026-107441, pero el hallazgo retrata el estado de muchas redes pequeñas: equipos instalados en una tarde y olvidados en un rincón del cableado.
El parche de junio dejó otra puerta abierta
La historia tiene un giro incómodo. El 16 de junio, Zyxel había publicado correcciones para otro fallo, el CVE-2026-7273, un desbordamiento de búfer previo a la autenticación. Cuando GreyNoise reveló la campaña el 21 de septiembre, atribuyó los ataques a ese fallo ya corregido, y ese mismo día la Agencia de Ciberseguridad y Seguridad de la Infraestructura de Estados Unidos (CISA) lo sumó a su catálogo de vulnerabilidades explotadas conocidas. Quien instaló el parche de junio dio el tema por cerrado.
Binarly, empresa dedicada a la seguridad del firmware, desarmó esa versión. Su equipo revisaba infraestructura del grupo Red Heron —allí aparecieron la puerta trasera JITTERLY y el rootkit SIXZUT— y encontró un archivo con un código de ataque en Python, ofuscado, dirigido a los GS1900. El detalle que lo cambiaba todo: el código comprobaba si el equipo llevaba las versiones corregidas en junio. Atacaba justo a los actualizados.
El 28 de septiembre, Binarly confirmó que el ataque funcionaba contra las diez versiones de firmware que incluían el parche de junio. La corrección agregaba controles de tamaño para frenar el desbordamiento, pero el código de ataque corrompía el contador de parámetros antes de que el control lo revisara; con el contador dañado, la copia de datos se salía de su espacio y el atacante escribía en memoria ajena. Binarly reportó el hallazgo a Zyxel el 29 de septiembre y la empresa confirmó el 11 de octubre un fallo nuevo y separado, con su propio número: CVE-2026-107441.
Ese patrón se repite en los equipos que sostienen una red. En octubre pasado, un fallo de Broadcom en enrutadores permitía el control sin contraseña y arrastraba años de exposición; en los GS1900 ni siquiera alcanzó con aplicar el parche anunciado. Los equipos de red rara vez aparecen en los inventarios con la disciplina de un servidor, y un interruptor comprometido entrega el mapa completo de la red: direcciones, segmentación y credenciales con las que abrir la siguiente puerta.
Qué toca revisar en cada GS1900 esta semana
Los modelos afectados son diez: GS1900-8, GS1900-8HP, GS1900-10HP, GS1900-16, GS1900-24, GS1900-24E, GS1900-24EP, GS1900-24HPv2, GS1900-48 y GS1900-48HPv2. Quedan expuestos con firmware 2.90 terminado en .2C0 o anterior, y el parche de cada modelo es la versión equivalente terminada en .3C0, publicada el 22 de octubre. El firmware nuevo limita el tamaño de los parámetros que copia la interfaz web —el tope queda en 511 bytes por parámetro— y valida la cantidad de parámetros antes de copiar dato alguno a memoria.
Actualizar es solo la mitad del trabajo. Los atacantes se llevaron los resúmenes cifrados de la contraseña de root de 996 equipos, y un resumen robado se puede someter a ataques de fuerza bruta fuera de línea, sin tocar el interruptor. Cambiar esa contraseña tras actualizar, y revisar toda clave reutilizada en la red, cierra la parte del robo que el firmware no puede deshacer. También conviene sacar la interfaz de gestión de la red general y dejarla accesible únicamente desde la red de administración: el fallo exige alcance de red local, y cada segmento que no alcanza esa interfaz queda fuera del ataque.
En su aviso, Zyxel agradeció el reporte a Yegor Vasilenko y Fernando Mercês, los investigadores de Binarly que lo documentaron. El aviso no precisa si las credenciales robadas se usaron en intrusiones posteriores contra las redes de las víctimas; esa respuesta depende de los registros de cada organización afectada. El número que queda sobre la mesa es otro: 996 redes cuyos interruptores ya contaron a un extraño cómo están armadas por dentro.
