CVE-2026-7273

🔍 Contexte Source : BleepingComputer, publié le 4 novembre 2026. Zyxel a corrigé une vulnérabilité zero-day (CVE-2026-107441) affectant ses switches réseau de la série GS1900, après que des attaquants l’ont exploitée pour compromettre près de 1 000 équipements à travers le monde. 🐛 Vulnérabilités impliquées CVE-2026-7273 : débordement de tampon pré-authentification dans les switches GS1900, patché par Zyxel le 16 juin 2026. CVE-2026-107441 : faille d’écriture hors limites (out-of-bounds write) dans l’interface de gestion web, permettant à un attaquant non authentifié d’exécuter des commandes OS via des requêtes HTTP spécialement forgées. Initialement confondue avec CVE-2026-7273, cette vulnérabilité distincte ciblait précisément les firmwares déjà patchés pour la première faille. 🎯 Campagne d’attaque À partir du 17 août 2026, l’acteur Kapibala (suspecté sinophone) a exploité les switches Zyxel GS1900. 996 équipements compromis dans 48 pays. Les attaquants ont exécuté des commandes à distance, puis téléchargé un script collectant : configurations des équipements, identifiants root hachés, informations réseau. Kapibala est lié à la campagne Red Heron, précédemment associée à l’exploitation d’une vulnérabilité critique dans Gitea (service Git auto-hébergé). 🔬 Découverte du zero-day Le 21 septembre 2026, GreyNoise a divulgué la campagne en l’attribuant à tort à CVE-2026-7273. La CISA a ajouté ce CVE à son catalogue KEV le même jour. La société Binarly a découvert, en analysant l’infrastructure Red Heron liée au backdoor JITTERLY et au rootkit SIXZUT, une archive exposée contenant un exploit Python obfusqué ciblant les GS1900. L’exploit vérifiait explicitement la présence des firmwares patchés pour CVE-2026-7273, confirmant qu’il ciblait un vecteur distinct. Binarly a confirmé le 28 septembre que l’exploit restait efficace contre les dix versions de firmware patchées pour CVE-2026-7273. La technique consistait à corrompre un compteur de paramètres avant validation, contournant les protections anti-débordement ajoutées par le premier patch. 🛠️ Correction Binarly a notifié Zyxel le 29 septembre 2026. Zyxel a confirmé la nouvelle vulnérabilité le 11 octobre et publié des mises à jour firmware le 22 octobre 2026. Les correctifs limitent la taille des paramètres et valident le compteur de paramètres avant la copie en mémoire. 📰 Nature de l’article Article de presse spécialisée combinant annonce de patch et analyse technique d’une campagne d’exploitation active, visant à informer les administrateurs réseau et la communauté CTI. ...

Cette page présente les vulnérabilités les plus discutées sur les sources publiques (Fediverse, Bluesky, GitHub, blogs) sur la période analysée. Période analysée : 2026-09-20 → 2026-09-27. Les données sont collectées via Vulnerability-Lookup (CIRCL) et enrichies automatiquement afin d’aider à la priorisation de la veille et de la remédiation. 📌 Légende : CVSS : score officiel de sévérité technique. EPSS : probabilité d’exploitation observée. VLAI : estimation de sévérité basée sur une analyse IA du contenu de la vulnérabilité. CISA KEV : vulnérabilité activement exploitée selon la CISA. seen / exploited : signaux observés dans les sources publiques. CVE-2026-87902 CVSS: N/A EPSS: 18.17% VLAI: N/A CISA: KEV ProduitWordPress — WordPress Publié2026-09-22T16:44:15.048Z An unauthenticated attacker can make `get_page_template()` page-template resolution include a chosen readable local `.php` file outside the active theme directories. If relevant pre-conditions for both the server and the active theme are met, this can lead to RCE. ...

🗓️ Contexte Source : Help Net Security, publié le 22 septembre 2026. L’article rapporte les conclusions de GreyNoise concernant l’exploitation active d’une vulnérabilité affectant les switches Zyxel GS1900 Smart Managed Switches, ciblant des environnements PME, écoles, hôtels et commerces. 🔍 Vulnérabilité exploitée CVE-2026-7273 : stack-based buffer overflow affectant les firmwares 2.90(XXXX.1)C0 et antérieurs des switches Zyxel GS1900 Exploitable depuis le LAN, sans authentification, via une requête HTTP spécialement forgée Permet l’exécution de commandes OS sur l’équipement Patch disponible depuis juin 2026 (nouvelles versions firmware) Ajoutée au catalogue KEV de la CISA, délai de remédiation fixé au 24 septembre 2026 🌍 Étendue de la compromission 996 équipements compromis dans 48 pays Pays les plus touchés : Italie, États-Unis, Taïwan, Corée du Sud, plusieurs pays de l’UE 564 victimes utilisaient des credentials d’usine par défaut Attaques survenues aux alentours du 17 août 2026 📦 Données exfiltrées Configuration des équipements Informations réseau Credentials root hashés 🛠️ Méthode d’attaque Exploit contenu dans un script Python fortement obfusqué via l’outil commercial PyArmor Après déobfuscation : ciblage explicite des firmwares 2.10 à 2.90 du modèle GS1900-24 Options CLI disponibles pour cibler d’autres firmwares dans le périmètre de la vulnérabilité 🔗 Attribution et campagnes liées GreyNoise attribue cette activité à un acteur sinophone ayant conduit des opérations antérieures en 2026 : ...

🔍 Contexte Publié le 21 septembre 2026 par GreyNoise (Andrew Thompson, Mark Mager), ce rapport documente l’activité d’un acteur malveillant cybernétique (MCA) suivi depuis juin 2026 via le Global Observation Grid (GOG) de GreyNoise. L’acteur est suspecté d’être sinophone, opérant en UTC+8, et est relié au groupe “Red Heron” précédemment rapporté par Acronis, sur la base d’un domaine C2 commun, d’une famille de malware partagée et de TTPs similaires. 🎯 Campagne d’exploitation multi-vecteurs L’acteur a ciblé une large gamme de technologies entre juin et septembre 2026 : ...