https://cyberveille.ch/tags/cve-2026-32996/ Recent content in CVE-2026-32996 on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Mon, 28 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-28-exploitation-active-de-cve-2026-7273-sur-switches-zyxel-gs1900-par-un-acteur-sinophone/ Mon, 28 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-28-exploitation-active-de-cve-2026-7273-sur-switches-zyxel-gs1900-par-un-acteur-sinophone/ <h2 id="-contexte">🗓️ Contexte</h2> <p>Source : Help Net Security, publié le 22 septembre 2026. L&rsquo;article rapporte les conclusions de <strong>GreyNoise</strong> concernant l&rsquo;exploitation active d&rsquo;une vulnérabilité affectant les switches <strong>Zyxel GS1900 Smart Managed Switches</strong>, ciblant des environnements PME, écoles, hôtels et commerces.</p> <h2 id="-vulnérabilité-exploitée">🔍 Vulnérabilité exploitée</h2> <ul> <li><strong>CVE-2026-7273</strong> : stack-based buffer overflow affectant les firmwares <strong>2.90(XXXX.1)C0 et antérieurs</strong> des switches Zyxel GS1900</li> <li>Exploitable depuis le LAN, sans authentification, via une <strong>requête HTTP spécialement forgée</strong></li> <li>Permet l&rsquo;exécution de commandes OS sur l&rsquo;équipement</li> <li>Patch disponible depuis <strong>juin 2026</strong> (nouvelles versions firmware)</li> <li>Ajoutée au catalogue <strong>KEV de la CISA</strong>, délai de remédiation fixé au <strong>24 septembre 2026</strong></li> </ul> <h2 id="-étendue-de-la-compromission">🌍 Étendue de la compromission</h2> <ul> <li><strong>996 équipements compromis</strong> dans <strong>48 pays</strong></li> <li>Pays les plus touchés : Italie, États-Unis, Taïwan, Corée du Sud, plusieurs pays de l&rsquo;UE</li> <li><strong>564 victimes</strong> utilisaient des credentials d&rsquo;usine par défaut</li> <li>Attaques survenues aux alentours du <strong>17 août 2026</strong></li> </ul> <h2 id="-données-exfiltrées">📦 Données exfiltrées</h2> <ul> <li>Configuration des équipements</li> <li>Informations réseau</li> <li><strong>Credentials root hashés</strong></li> </ul> <h2 id="-méthode-dattaque">🛠️ Méthode d&rsquo;attaque</h2> <ul> <li>Exploit contenu dans un <strong>script Python</strong> fortement obfusqué via l&rsquo;outil commercial <strong>PyArmor</strong></li> <li>Après déobfuscation : ciblage explicite des firmwares <strong>2.10 à 2.90</strong> du modèle <strong>GS1900-24</strong></li> <li>Options CLI disponibles pour cibler d&rsquo;autres firmwares dans le périmètre de la vulnérabilité</li> </ul> <h2 id="-attribution-et-campagnes-liées">🔗 Attribution et campagnes liées</h2> <p>GreyNoise attribue cette activité à un <strong>acteur sinophone</strong> ayant conduit des opérations antérieures en 2026 :</p>