Switch Zyxel GS1900: la patch di giugno non bastava

Cosa è successo

Uno switch è la scatola con le porte di rete che collega fra loro computer, telecamere e altri apparecchi di un ufficio o di una casa. Il firmware è il programma interno che lo fa funzionare.

Il 4 novembre 2026 BleepingComputer e il 5 novembre The Hacker News hanno riportato una nuova falla, la CVE-2026-107441. Una CVE è il numero di catalogo con cui si identifica una falla di sicurezza. Questa è nell'interfaccia web di gestione degli switch Zyxel GS1900: chi ha accesso alla rete, senza password, può far eseguire comandi allo switch con richieste HTTP costruite apposta.

La falla precedente, la CVE-2026-7273, era stata corretta da Zyxel il 16 giugno 2026 con il firmware chiamato Patch 2. La statunitense CISA l'ha inserita il 21 settembre nel catalogo KEV, l'elenco delle falle già sfruttate negli attacchi.

Secondo Binarly, la società di sicurezza che l'ha scoperta, il nuovo exploit funziona su tutte e dieci le versioni Patch 2. Un exploit è il programma che sfrutta la falla. Nella Patch 2 il controllo sul numero dei parametri avviene dopo la copia dei dati, quindi non impedisce la scrittura; la Patch 3 lo fa prima (The Hacker News, da Binarly).

Non è chiaro se l'exploit sia stato costruito apposta per aggirare la correzione di giugno o se sfrutti una debolezza vicina che quella correzione non copriva: BleepingComputer lo chiama una questione aperta.

Quali modelli sono interessati

Sono dieci modelli: GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48 e -48HPv2.

Il firmware corretto è la Patch 3. Per il GS1900-8 è la versione 2.90(AAHH.3)C0. Le altre, dalla tabella di The Hacker News: -8HP 2.90(AAHI.3)C0, -10HP 2.90(AAZI.3)C0, -16 2.90(AAHJ.3)C0, -24 2.90(AAHL.3)C0, -24E 2.90(AAHK.3)C0, -24EP 2.90(ABTO.3)C0, -24HPv2 2.90(ABTP.3)C0, -48 2.90(AAHN.3)C0, -48HPv2 2.90(ABTQ.3)C0. Da ricontrollare sull'avviso Zyxel, che non abbiamo letto.

Sul rilascio le due testate non concordano: il firmware è del 22 ottobre per BleepingComputer, del 23 ottobre per The Hacker News. Secondo BleepingComputer l'avviso Zyxel è del 3 novembre 2026 (The Hacker News scrive solo "all'inizio di questa settimana").

Sulla gravità: Binarly indica 9,8 su 10, la voce NVD (l'archivio americano delle falle) 8,8. BleepingComputer non dà un punteggio.

Gli attacchi: cosa si sa e cosa no

GreyNoise, un'azienda che osserva il traffico malevolo, riporta 996 switch GS1900 compromessi (in 48 paesi, secondo BleepingComputer), con attività iniziata intorno al 17 agosto 2026 per i due articoli di novembre. Ma BleepingComputer del 22 settembre scriveva che GreyNoise aveva visto i primi segni di sfruttamento il giovedì precedente, il 17 settembre: i due mesi non coincidono e non sappiamo se sia un errore o due cose diverse (inizio dell'attività e primo avvistamento). Gli aggressori scaricavano uno script che raccoglieva configurazioni, hash delle credenziali di root (cioè un'impronta calcolata dalla password dell'amministratore, non la password in chiaro) e informazioni di rete. Dati riportati da BleepingComputer e The Hacker News, che citano GreyNoise.

Secondo GreyNoise dietro c'è un sospetto gruppo di lingua cinese, indicato come "Kapibala" e legato alla campagna "Red Heron" (BleepingComputer). The Hacker News scrive che GreyNoise lo ritiene uguale o vicino a un gruppo che Acronis chiama Red Heron.

564 dei 996 switch usavano ancora le credenziali di fabbrica (solo The Hacker News, da GreyNoise).

Quello che nessuna fonte letta dice: che gli switch violati avessero la Patch 2, o che siano stati violati proprio con la CVE-2026-107441. Secondo The Hacker News l'avviso Zyxel non dice se la nuova falla sia stata sfruttata in attacchi reali. BleepingComputer titola invece che uno "zero-day" (una falla sfruttata prima che esistesse la correzione) è stato usato per violare quasi 1.000 switch. The Hacker News riporta che Binarly ha trovato l'exploit su un server che faceva anche da centro di comando del malware JITTERLY: l'exploit funzionante esisteva, ma il legame con i 996 switch non è dimostrato dalle fonti lette. Al 4 novembre (dato di The Hacker News) la CVE-2026-107441 non risulta nel catalogo KEV.

Binarly dice che basta raggiungere il servizio di gestione dalla rete; l'avviso Zyxel parla di "attaccante in LAN senza autenticazione" (The Hacker News). Binarly intende pubblicare presto una dimostrazione più piccola dell'exploit.

Cosa puoi fare

L'indicazione che arriva dalle fonti è una: installare il firmware Patch 3 per il proprio modello, scaricandolo dalla pagina Zyxel.

Secondo The Hacker News l'avviso Zyxel non indica soluzioni alternative per chi non può aggiornare, e non dice se l'aggiornamento elimina un accesso già ottenuto da un attaccante.

Come osservazione, non come istruzione: visto che 564 switch su 996 avevano le credenziali di fabbrica, vale la pena controllare di averle cambiate. Come si verifica la versione del firmware sul tuo modello non è nelle fonti che abbiamo letto, e non lo scriviamo a caso.

Da dove vengono questi dati

Sono state lette per intero due testate: BleepingComputer (4 novembre 2026 e, sul precedente avviso CISA, 22 settembre 2026) e The Hacker News (5 novembre 2026). Raccontano gli stessi rapporti, quindi valgono come una sola catena di fonti per i dettagli tecnici.

Non sono stati letti l'avviso Zyxel, i rapporti di Binarly e GreyNoise e la pagina CISA: ciò che li riguarda arriva solo da queste due testate. Diversi dati (564 switch con credenziali di fabbrica, nessuna soluzione alternativa, assenza dal catalogo KEV, punteggi 9,8 e 8,8, dimostrazione Binarly in arrivo) sono a fonte singola, The Hacker News; "48 paesi", "Kapibala" e la data dell'avviso, solo BleepingComputer.

Non sappiamo quanti GS1900 siano in uso in Italia né se ci siano vittime italiane: nessuna fonte lo dice. La pagina sarà aggiornata quando l'avviso Zyxel sarà letto.