Zyxel GS1900 : zero-day CVE-2026-107441 cible 1 000 switchs

Ce qui s'est passé

Une campagne d'attaques ciblant les switchs réseau Zyxel de la série GS1900 a d'abord été attribuée à l'exploitation de la vulnérabilité CVE-2026-7273, corrigée par Zyxel en juin 2026. Mais une analyse approfondie menée par la firme de sécurité Binarly a révélé une réalité bien plus préoccupante : les attaquants exploitaient un zero-day distinct, référencé CVE-2026-107441, qui restait efficace sur tous les modèles pourtant patchés contre la faille de juin. L'exploit public ciblant CVE-2026-7273 continuait de fonctionner sur les firmwares mis à jour, non pas parce que le patch était défaillant, mais parce qu'il visait en réalité une surface d'attaque différente.

CVE-2026-107441 est une vulnérabilité de type débordement de tampon hors limites (out-of-bounds write) dans le programme CGI du système de gestion des switchs GS1900. Elle permet à un attaquant non authentifié d'exécuter des commandes OS arbitraires en envoyant des requêtes HTTP spécialement forgées vers l'interface d'administration du switch. Dix modèles de la gamme GS1900 sont concernés, couvrant des versions firmware allant des releases les plus anciennes jusqu'aux versions prétendument corrigées pour CVE-2026-7273. Le score CVSS assigné par Zyxel est de 8,8, bien que Binarly ait indiqué considérer la criticité réelle supérieure, notamment en raison de l'accessibilité réseau directe sans nécessité d'authentification préalable.

La société GreyNoise, spécialisée dans l'analyse du trafic Internet malveillant, a comptabilisé 996 switchs GS1900 compromis dans 48 pays différents. Les attaquants ont méthodiquement exfiltré les configurations des équipements, les hachages de credentials root, ainsi que diverses informations sur l'architecture réseau des victimes. Cette exfiltration est particulièrement grave car elle offre aux attaquants une cartographie précise des infrastructures réseau, facilitant des attaques ultérieures plus ciblées : pivotement latéral, interception de trafic, ou déploiement de malwares persistants sur les segments de réseau contrôlés par les switchs compromis.

La chronologie de découverte et de correction illustre la complexité des processus de divulgation responsable. Binarly a signalé la vulnérabilité à Zyxel le 29 septembre 2026. Zyxel a confirmé le problème le 11 octobre, soit douze jours plus tard. Les mises à jour firmware ont été publiées le 22 octobre 2026, et l'advisory officiel a suivi le 3 novembre. Ce délai de six semaines entre la découverte et la publication publique de l'avis a laissé une fenêtre d'exploitation active, les attaquants semblant avoir eu connaissance de la vulnérabilité avant même la divulgation coordonnée.

Un élément notable soulevé par Binarly concerne la portée de l'exploitation : contrairement à ce que l'advisory de Zyxel décrit comme une attaque nécessitant un accès LAN, les chercheurs affirment que la faille est exploitable depuis n'importe quel réseau pouvant atteindre l'interface d'administration du switch. Cette divergence d'interprétation est importante pour les équipes de sécurité qui évalueraient leur exposition : si l'interface d'administration est accessible depuis Internet — ce qui est malheureusement fréquent dans les PME et les environnements gérés à distance — le risque est critique.

L'advisory officiel de Zyxel distingue CVE-2026-107441 de son prédécesseur CVE-2026-7273, pour lequel un exploit public était déjà disponible depuis septembre. CISA avait ajouté CVE-2026-7273 à son catalogue KEV (Known Exploited Vulnerabilities) en septembre 2026. Au moment de la rédaction de cet article, CVE-2026-107441 n'y figure pas encore, bien que son exploitation active ait été documentée. Les organisations soumises aux obligations CISA BOD 22-01 doivent surveiller le statut KEV de cette CVE et anticiper son ajout probable.

Les switchs GS1900 sont particulièrement répandus dans les environnements SMB, les hôtels, les bâtiments tertiaires et les déploiements de campus universitaires. Leur présence dans des segments réseau sensibles — contrôle d'accès physique, VoIP, IoT industriel léger — amplifie considérablement l'impact potentiel d'une compromission. Un attaquant ayant pris le contrôle d'un switch peut intercepter, modifier ou rediriger silencieusement le trafic qui le traverse, sans aucune indication visible pour les systèmes de détection basés sur les endpoints.

La procédure de remédiation recommandée par Zyxel et les chercheurs est claire : mettre à jour le firmware de chaque switch GS1900 vers la release .3 ou supérieure, vérifier les journaux de configuration pour détecter toute modification suspecte, et procéder à une rotation complète des credentials root et d'administration sur les équipements potentiellement exposés. Sur les déploiements gérés, il est conseillé de revalider l'intégrité des ACL et des VLAN configurés, car un attaquant ayant exfiltré la configuration dispose d'une connaissance exacte de la topologie de segmentation.

Pourquoi c'est important

Cette affaire illustre un phénomène de plus en plus fréquent dans le paysage des vulnérabilités réseau : le patch partiel. Zyxel avait bien corrigé CVE-2026-7273 en juin, mais l'existence d'un exploit public pour cette CVE a conduit les attaquants à l'analyser en profondeur, révélant en creux une surface d'attaque adjacente non traitée. Les équipes sécurité qui avaient validé leurs switchs comme "patchés" après juin se retrouvent potentiellement exposées malgré leur diligence — un scénario frustrant et de plus en plus courant avec les équipements réseau embarqués.

La compromission de switchs réseau représente une catégorie d'attaque que les solutions EDR classiques détectent très difficilement, voire pas du tout. Les switchs ne supportent pas d'agents de sécurité, leurs logs natifs sont souvent limités et rarement centralisés dans les SIEM, et leur firmware est rarement inclus dans les programmes de patch management automatisé. Cette invisibilité structurelle en fait des cibles idéales pour des attaquants cherchant à établir une présence persistante et discrète dans un réseau d'entreprise.

L'exploitation des équipements réseau périphériques — switchs, routeurs, firewalls, points d'accès — constitue l'une des tactiques les plus documentées des groupes APT et des opérateurs de ransomware en 2026. La campagne Volt Typhoon, les attaques sur SonicWall et Ivanti Connect Secure, et maintenant Zyxel GS1900 s'inscrivent dans un pattern cohérent : compromettre l'infrastructure réseau avant même d'atteindre les endpoints pour maximiser la discrétion et la persistance. Pour les RSSI, cela implique d'étendre explicitement le scope du patch management et de la surveillance à l'ensemble des équipements réseau actifs, pas uniquement aux serveurs et postes de travail.

Du point de vue réglementaire, NIS2 impose aux entités essentielles et importantes de l'UE de maintenir un inventaire précis de leurs actifs réseau et d'appliquer des correctifs dans des délais maîtrisés. Une compromission de switchs réseau non patchés constitue un manquement aux obligations de sécurité de base et pourrait être retenu comme circonstance aggravante en cas de notification d'incident à l'ANSSI ou aux autorités nationales compétentes.

Ce qu'il faut retenir

• CVE-2026-107441 est un zero-day actif sur les switchs Zyxel GS1900 permettant une exécution de commandes root sans authentification — les correctifs firmware sont disponibles depuis le 22 octobre 2026.
• 996 switchs ont déjà été compromis dans 48 pays malgré le patch précédent de juin ; les configurations et credentials exfiltrés facilitent des attaques ultérieures.
• La mise à jour firmware vers la release .3, la rotation des credentials et la vérification des ACL/VLAN sont les trois actions prioritaires pour toute organisation concernée.