CVE-2026-107441 : Zyxel GS1900 zero-day RCE, 996 switches compromis

Les faits

Une vulnérabilité zero-day critique a été découverte dans la gamme de switches managés Zyxel GS1900, affectant l'interface de gestion web de dix modèles distincts. Référencée CVE-2026-107441, cette faille de type out-of-bounds write permet à un attaquant non authentifié d'exécuter des commandes arbitraires au niveau du système d'exploitation via des requêtes HTTP spécialement forgées. L'exploitation active a été confirmée in-the-wild avant la publication du correctif officiel, ce qui en fait techniquement un zero-day exploité.

La faille réside dans le traitement des paramètres d'entrée de l'interface web d'administration. Le code vulnérable ne valide pas correctement la taille des paramètres transmis via des requêtes HTTP, permettant une écriture hors limites en mémoire. En exploitant cette corruption mémoire, un attaquant peut rediriger le flux d'exécution vers du code arbitraire injecté, obtenant ainsi un contrôle total sur l'équipement réseau. L'absence d'authentification requise amplifie considérablement la dangerosité de cette vulnérabilité : aucune session, aucun token, aucune connaissance du mot de passe administrateur n'est nécessaire.

La société Binarly, spécialisée dans la sécurité des firmwares embarqués, a identifié CVE-2026-107441 lors d'analyses de terrain et a confirmé son exploitation active avant la divulgation publique. L'acteur malveillant identifié, opérant sous le pseudonyme Kapibala et attribué à un groupe sinophone par les équipes de renseignement sur les menaces, a compromis 996 équipements Zyxel GS1900 répartis dans 48 pays avant que l'équipementier ne publie son advisory de sécurité le 3 novembre 2026. La plateforme GreyNoise a tracé et corrélé ces activités d'exploitation, fournissant une visibilité précieuse sur l'étendue de la campagne.

Un élément particulièrement préoccupant dans l'analyse technique de CVE-2026-107441 est que l'exploitation contourne un patch précédent. Le correctif déployé par Zyxel pour la vulnérabilité CVE-2026-7273, qui affectait également la gamme GS1900, s'est avéré insuffisant face à cet adversaire. Les chercheurs de Binarly ont démontré que l'acteur Kapibala avait adapté son exploit pour contourner la mitigation introduite dans le firmware précédent, exploitant un vecteur d'attaque légèrement différent mais dans la même composante logicielle. Cette capacité à contourner un patch illustre la sophistication des acteurs ciblant l'infrastructure réseau d'entreprise.

Les modèles de switches Zyxel GS1900 affectés sont des équipements de couche 2 couramment déployés dans les environnements PME et mid-market pour la segmentation réseau, le VLAN et la gestion de bande passante. Leur interface de gestion web, exposée sur le réseau local — et parfois directement sur Internet dans des configurations non sécurisées — constitue la surface d'attaque exploitée par CVE-2026-107441. Selon l'analyse de GreyNoise, les 996 équipements compromis ont été utilisés comme points d'accès initiaux permettant le pivoting dans les réseaux victimes pour accéder à des ressources plus sensibles.

Zyxel a publié un firmware correctif le 22 octobre 2026, soit plusieurs semaines après les premières exploitations détectées par Binarly. Ce délai entre la détection in-the-wild et la disponibilité du patch constitue une fenêtre d'exposition significative. Le nouveau firmware implémente des contrôles stricts de validation de la taille des paramètres et des vérifications sur le nombre de paramètres acceptés par les endpoints web vulnérables. Cette approche comble le vecteur d'attaque de CVE-2026-107441 tout en adressant la contournabilité du correctif précédent pour CVE-2026-7273.

Le score CVSS de CVE-2026-107441 n'a pas encore été officiellement publié par NVD/NIST au moment de la rédaction de cet article. Sur la base du vecteur d'attaque réseau sans authentification et de l'impact (exécution de commandes OS, compromission complète de l'équipement), la vulnérabilité est classifiée critique par Zyxel dans son advisory. Les caractéristiques techniques — CVSS vecteur AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — laissent présager un score CVSS v3.1 dans la plage 9.0 à 9.8, caractéristique des Remote Code Execution non authentifiés.

Cette vulnérabilité s'inscrit dans une tendance alarmante de ciblage des équipements réseau de couche accès et distribution par des acteurs étatiques ou para-étatiques asiatiques. Les switches managés, souvent négligés dans les programmes de patch management au profit des serveurs et postes de travail, représentent une surface d'attaque sous-estimée mais critique. Un switch compromis donne à l'attaquant une visibilité totale sur le trafic réseau et la capacité de reconfigurer la segmentation réseau, annulant de facto toutes les défenses périmètriques déployées au-dessus de la couche 2.

Impact et exposition

Dix modèles de la gamme Zyxel GS1900 sont confirmés comme affectés par CVE-2026-107441, selon l'advisory Zyxel Security Advisory 2026-07. Ces équipements sont déployés dans des milliers d'organisations en France et en Europe dans des secteurs variés : PME industrielles, cabinets médicaux, établissements éducatifs, collectivités territoriales et infrastructures hôtelières. Toute organisation utilisant ces switches sans avoir appliqué le firmware du 22 octobre 2026 demeure exposée à une compromission immédiate.

Les conditions d'exploitation sont particulièrement favorables aux attaquants : la vulnérabilité est non authentifiée, ne nécessite aucune interaction utilisateur, et est exploitable depuis le réseau local sans élévation de privilèges préalable. Dans les configurations où l'interface web d'administration est exposée directement sur Internet — pratique documentée dans les scans Shodan et Censys — l'exploitation est possible depuis n'importe quel point de l'Internet mondial, avec une complexité d'attaque évaluée comme faible.

L'exploitation active confirmée avec 996 compromissions dans 48 pays démontre que des outils d'exploitation automatisés ont été développés et déployés à grande échelle. La probabilité de tentatives d'exploitation sur tout équipement GS1900 non patché est donc élevée, indépendamment de la visibilité ou de la notoriété de l'organisation cible. Les acteurs malveillants utilisent des scanners automatisés pour identifier les cibles vulnérables, rendant l'obscurité ou la discrétion inefficaces comme protection.

Un switch GS1900 compromis permet à l'attaquant de reconfigurer les VLANs pour supprimer la segmentation réseau, d'intercepter le trafic (attaque man-in-the-middle), de désactiver les fonctions de sécurité de couche 2 (port security, DHCP snooping, ARP inspection) et d'établir une persistance difficile à détecter pour les outils de sécurité endpoints. Les SOC qui ne surveillent pas le plan de gestion de leurs équipements réseau passeront à côté d'une telle compromission.

Recommandations immédiates

• Identifier tous les switches Zyxel GS1900 dans l'infrastructure via CMDB ou scan réseau ciblé (nmap, Nessus, OpenVAS avec signatures à jour)
• Appliquer immédiatement le firmware correctif publié le 22 octobre 2026 — advisory Zyxel Security Advisory 2026-07 — sur tous les modèles GS1900 affectés
• Si la mise à jour immédiate est impossible : restreindre l'accès à l'interface web d'administration aux seules adresses IP de gestion via ACL réseau ou VLAN de management isolé
• Vérifier les logs d'accès à l'interface web pour détecter des requêtes HTTP anormales antérieures au patch (caractéristiques : paramètres de taille inhabituelle)
• Isoler tout switch suspecté de compromission et effectuer une analyse forensique du firmware avant remise en production
• S'assurer que l'interface d'administration n'est en aucun cas exposée sur Internet — Shodan propose un moteur de recherche pour vérifier la visibilité externe de vos équipements