🔍 Contexte
Source : BleepingComputer, publié le 4 novembre 2026. Zyxel a corrigé une vulnérabilité zero-day (CVE-2026-107441) affectant ses switches réseau de la série GS1900, après que des attaquants l’ont exploitée pour compromettre près de 1 000 équipements à travers le monde.
🐛 Vulnérabilités impliquées
- CVE-2026-7273 : débordement de tampon pré-authentification dans les switches GS1900, patché par Zyxel le 16 juin 2026.
- CVE-2026-107441 : faille d’écriture hors limites (out-of-bounds write) dans l’interface de gestion web, permettant à un attaquant non authentifié d’exécuter des commandes OS via des requêtes HTTP spécialement forgées. Initialement confondue avec CVE-2026-7273, cette vulnérabilité distincte ciblait précisément les firmwares déjà patchés pour la première faille.
🎯 Campagne d’attaque
- À partir du 17 août 2026, l’acteur Kapibala (suspecté sinophone) a exploité les switches Zyxel GS1900.
- 996 équipements compromis dans 48 pays.
- Les attaquants ont exécuté des commandes à distance, puis téléchargé un script collectant : configurations des équipements, identifiants root hachés, informations réseau.
- Kapibala est lié à la campagne Red Heron, précédemment associée à l’exploitation d’une vulnérabilité critique dans Gitea (service Git auto-hébergé).
🔬 Découverte du zero-day
- Le 21 septembre 2026, GreyNoise a divulgué la campagne en l’attribuant à tort à CVE-2026-7273. La CISA a ajouté ce CVE à son catalogue KEV le même jour.
- La société Binarly a découvert, en analysant l’infrastructure Red Heron liée au backdoor JITTERLY et au rootkit SIXZUT, une archive exposée contenant un exploit Python obfusqué ciblant les GS1900.
- L’exploit vérifiait explicitement la présence des firmwares patchés pour CVE-2026-7273, confirmant qu’il ciblait un vecteur distinct.
- Binarly a confirmé le 28 septembre que l’exploit restait efficace contre les dix versions de firmware patchées pour CVE-2026-7273.
- La technique consistait à corrompre un compteur de paramètres avant validation, contournant les protections anti-débordement ajoutées par le premier patch.
🛠️ Correction
- Binarly a notifié Zyxel le 29 septembre 2026. Zyxel a confirmé la nouvelle vulnérabilité le 11 octobre et publié des mises à jour firmware le 22 octobre 2026.
- Les correctifs limitent la taille des paramètres et valident le compteur de paramètres avant la copie en mémoire.
📰 Nature de l’article
Article de presse spécialisée combinant annonce de patch et analyse technique d’une campagne d’exploitation active, visant à informer les administrateurs réseau et la communauté CTI.
🧠 TTPs et IOCs détectés
Acteurs de menace
- Kapibala (state-sponsored) —
TTP
- T1190 — Exploit Public-Facing Application (Initial Access)
- T1059 — Command and Scripting Interpreter (Execution)
- T1005 — Data from Local System (Collection)
- T1552 — Unsecured Credentials (Credential Access)
- T1542 — Pre-OS Boot (Defense Evasion)
- T1027 — Obfuscated Files or Information (Defense Evasion)
IOC
⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 5 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.
Malware / Outils
- JITTERLY (backdoor)
- SIXZUT (other)
🟢 Indice de vérification factuelle : 66/100 (haute)
- ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
- ✅ 4064 chars — texte complet (15pts)
- ✅ 2 IOC(s) (6pts)
- ⬜ pas d’IOC vérifié (0pts)
- ✅ 6 TTPs MITRE identifiées (15pts)
- ⬜ date RSS ou approximée (0pts)
- ✅ acteur(s) identifié(s) : Kapibala (5pts)
- ✅ 2/2 CVE(s) confirmée(s) (CIRCL) (5pts)
🔗 Source originale : https://www.bleepingcomputer.com/news/security/zyxel-fixes-zero-day-exploited-to-hack-nearly-1-000-network-switches/