Zyxel

🗓️ Contexte Source : Help Net Security, publié le 22 septembre 2026. L’article rapporte les conclusions de GreyNoise concernant l’exploitation active d’une vulnérabilité affectant les switches Zyxel GS1900 Smart Managed Switches, ciblant des environnements PME, écoles, hôtels et commerces. 🔍 Vulnérabilité exploitée CVE-2026-7273 : stack-based buffer overflow affectant les firmwares 2.90(XXXX.1)C0 et antérieurs des switches Zyxel GS1900 Exploitable depuis le LAN, sans authentification, via une requête HTTP spécialement forgée Permet l’exécution de commandes OS sur l’équipement Patch disponible depuis juin 2026 (nouvelles versions firmware) Ajoutée au catalogue KEV de la CISA, délai de remédiation fixé au 24 septembre 2026 🌍 Étendue de la compromission 996 équipements compromis dans 48 pays Pays les plus touchés : Italie, États-Unis, Taïwan, Corée du Sud, plusieurs pays de l’UE 564 victimes utilisaient des credentials d’usine par défaut Attaques survenues aux alentours du 17 août 2026 📦 Données exfiltrées Configuration des équipements Informations réseau Credentials root hashés 🛠️ Méthode d’attaque Exploit contenu dans un script Python fortement obfusqué via l’outil commercial PyArmor Après déobfuscation : ciblage explicite des firmwares 2.10 à 2.90 du modèle GS1900-24 Options CLI disponibles pour cibler d’autres firmwares dans le périmètre de la vulnérabilité 🔗 Attribution et campagnes liées GreyNoise attribue cette activité à un acteur sinophone ayant conduit des opérations antérieures en 2026 : ...

🔍 Contexte Publié le 21 septembre 2026 par GreyNoise (Andrew Thompson, Mark Mager), ce rapport documente l’activité d’un acteur malveillant cybernétique (MCA) suivi depuis juin 2026 via le Global Observation Grid (GOG) de GreyNoise. L’acteur est suspecté d’être sinophone, opérant en UTC+8, et est relié au groupe “Red Heron” précédemment rapporté par Acronis, sur la base d’un domaine C2 commun, d’une famille de malware partagée et de TTPs similaires. 🎯 Campagne d’exploitation multi-vecteurs L’acteur a ciblé une large gamme de technologies entre juin et septembre 2026 : ...

Source: RainPwn (blog). Le billet présente une analyse technique de CVE-2025-9133 affectant les appliances Zyxel ATP/USG, montrant comment le CGI zysh-cgi autorise un contournement d’autorisation durant la vérification 2FA, exposant la configuration système. • Vulnérabilité: bypass d’autorisation dans le flux 2FA via zysh-cgi, dû à une validation par préfixe (strncmp) des commandes et l’absence de tokenisation. En chaînant des commandes avec «;», un utilisateur partiellement authentifié peut exécuter des commandes non autorisées comme show running-config, malgré une allowlist restrictive pour le profil usr_type 0x14. ...

Dans un article publié sur le Frycos Security Diary, un analyste en cybersécurité partage sa découverte d’une variante de vulnérabilité Nday sur le Zyxel NWA50AX Pro, un point d’accès WiFi 6 destiné aux petites entreprises. L’analyste, en vacances, a exploré le firmware de l’appareil et a découvert une configuration du serveur lighttpd permettant l’accès non authentifié à certains endpoints CGI. En analysant les fichiers de configuration et en testant les réponses HTTP, il a pu accéder à des fichiers CGI sans authentification, révélant une potentielle faille de sécurité. ...

L’article publié par GreyNoise rapporte une tentative d’exploitation de la vulnérabilité CVE-2023-28771, qui affecte les décodeurs de paquets IKE de Zyxel via le port UDP 500. Le 16 juin 2025, GreyNoise a observé une activité concentrée de tentatives d’exploitation de cette vulnérabilité, impliquant 244 adresses IP uniques. Les tentatives étaient dirigées principalement vers les États-Unis, le Royaume-Uni, l’Espagne, l’Allemagne et l’Inde. Toutes les adresses IP étaient classifiées comme malveillantes par GreyNoise et étaient géolocalisées aux États-Unis, sous l’infrastructure de Verizon Business. ...