Zyxel menerbitkan advisory untuk CVE-2026-107441, celah tulis di luar batas pada program CGI di firmware switch seri GS1900. Menurut Zyxel, penyerang di jaringan lokal tanpa login bisa menjalankan perintah sistem operasi lewat permintaan HTTP yang dirancang khusus. Advisory resmi itu bertanggal 3 November 2026 dan mengkredit Yegor Vasilenko dari Binarly sebagai pelapor.
Model dan versi yang terdampak
Sepuluh model masuk daftar: GS1900-8, GS1900-8HP, GS1900-10HP, GS1900-16, GS1900-24, GS1900-24E, GS1900-24EP, GS1900-24HPv2, GS1900-48, dan GS1900-48HPv2. Firmware yang terdampak adalah seri 2.90 dengan akhiran .2C0 ke bawah, misalnya 2.90(AAHK.2)C0 pada GS1900-24E. Versi perbaikannya memakai akhiran .3C0, misalnya 2.90(AAHK.3)C0. Zyxel menyebut tambalan hanya dirilis untuk model yang masih berada dalam masa dukungan kerentanan, dan produk di luar tabel advisory dinyatakan tidak terdampak. Advisory tidak mencantumkan solusi sementara.
Advisory Binarly dengan kode BRLY-2026-057 menggambarkan dampak yang lebih berat: penyerang jarak jauh tanpa autentikasi berpotensi menjalankan perintah dengan hak root lewat dispatcher.cgi. Perbedaan antara “jaringan lokal” versi Zyxel dan “jarak jauh” versi Binarly belum dijelaskan kedua pihak, jadi anggap antarmuka web yang terbuka ke jaringan luas sebagai risiko.
Klaim eksploitasi masih dari satu sumber
Zyxel tidak menyatakan apakah celah ini sudah dieksploitasi. Klaim itu datang dari SecurityOnline, yang menulis bahwa peneliti Binarly, Fernando Mercês dan Yegor Vasilenko, menemukan celah ini saat mempelajari exploit di server milik penyerang. Menurut laporan itu, exploit tersebut tetap bekerja pada firmware yang sudah memuat perbaikan Zyxel bulan Juni untuk CVE-2026-7273. Laporan yang sama memberi skor CVSS 8,8 untuk CVE-2026-107441, angka yang tidak tercantum di advisory Zyxel.
Latar belakangnya cukup berat. SecurityOnline mengutip GreyNoise yang pada September melaporkan seorang penyerang mencuri data dari 996 switch GS1900 di 48 negara. GreyNoise mengaitkan serangan itu dengan CVE-2026-7273, yang dimasukkan CISA ke katalog KEV pada 21 September. Dari para korban, 564 masih memakai kredensial bawaan pabrik.
Langkah yang perlu diambil
Pertama, periksa versi firmware setiap switch GS1900 dan naikkan ke build .3C0 untuk modelnya. Kedua, batasi antarmuka web ke VLAN manajemen dan jangan biarkan terjangkau dari jaringan tamu atau internet. Ketiga, ganti kredensial bawaan pabrik. Keempat, perlakukan switch yang pernah terbuka sebelum ditambal sebagai berpotensi terkompromi, lalu tinjau konfigurasi dan akun administrator. Pemilik model yang sudah habis masa dukungannya tidak mendapat tambalan, sehingga membatasi akses atau mengganti perangkat jadi pilihan yang tersisa.
Sumber: advisory Zyxel, advisory Binarly BRLY-2026-057, dan SecurityOnline. Gambar: SecurityOnline.