Serangan ke switch Zyxel seri GS1900 ternyata tidak memakai celah yang selama ini dikira. Peneliti Binarly menemukan bahwa pelaku mengeksploitasi celah baru bernomor CVE-2026-107441, sehingga perangkat yang sudah menerima patch Juni tetap bisa dibobol. Zyxel menerbitkan advisori pada 3 November 2026, dan SecurityWeek melaporkan sekitar 1.000 perangkat sudah diretas.
Celah baru di program CGI yang sama
Serangan sebelumnya dikaitkan dengan CVE-2026-7273, celah buffer overflow di program CGI firmware GS1900 yang ditambal Zyxel pada Juni. Binarly memberi tahu Zyxel pada 29 September bahwa exploit yang ditemukannya di lapangan menyasar bug lain. Bug itu adalah out-of-bounds write di program CGI yang sama, dan kini tercatat sebagai CVE-2026-107441.
Menurut Zyxel, penyerang di jaringan lokal tanpa autentikasi bisa mengirim permintaan HTTP yang dibuat khusus, lalu berpotensi menjalankan perintah sistem operasi. Skor tingkat keparahannya berbeda antarsumber: SecurityWeek menyebut CVSS 8,8, sedangkan metadata advisori Binarly mencantumkan 9,8. Binarly juga menguji bahwa exploit tetap berhasil pada sepuluh rilis firmware yang sudah memuat perbaikan Juni.
Help Net Security melaporkan, mengutip GreyNoise, bahwa korbannya sekitar 1.000 perangkat di 48 negara. Pelakunya disebut aktor berbahasa Mandarin, dan Binarly menemukan varian malware Jitterly dan Sixzut yang sebelumnya dianalisis Acronis. Data yang dilaporkan dicuri mencakup konfigurasi, informasi jaringan, dan kredensial root dalam bentuk hash.
Model dan versi yang terdampak
Zyxel menyatakan sepuluh model terdampak: GS1900-8, GS1900-8HP, GS1900-10HP, GS1900-16, GS1900-24, GS1900-24E, GS1900-24EP, GS1900-24HPv2, GS1900-48, dan GS1900-48HPv2. Semua build 2.90(XXXX.2)C0 dan yang lebih lama rentan. Perbaikannya ada di build 2.90(XXXX.3)C0, atau disebut 2.90 Patch 3, yang dirilis pada akhir Oktober. Produk yang tidak ada dalam daftar advisori tidak terdampak. Zyxel tidak menyebut workaround.
Langkah yang perlu diambil administrator
Pasang firmware 2.90 Patch 3 di semua switch GS1900, termasuk yang sudah diperbarui sejak Juni. Karena patch lama terbukti tidak cukup, jangan hanya mengandalkan nomor versi sebagai bukti aman. Binarly menyarankan analisis biner untuk memastikan celah benar-benar tertutup, dan itu langkah yang realistis hanya bagi tim dengan kemampuan khusus.
Untuk sisanya, periksa switch yang lama tidak diperbarui dari tanda kompromi, seperti perubahan konfigurasi yang tidak dikenal. Batasi akses antarmuka web hanya dari segmen jaringan manajemen yang tepercaya. Bila ada indikasi perangkat sudah diambil alih, ganti kata sandi administrator dan kredensial lain yang pernah tersimpan di switch. Indikator teknis serangan ada di laporan Binarly dan SecurityWeek.
Sumber: SecurityWeek, advisori Zyxel, Help Net Security. Gambar: SecurityWeek.