Zyxel vừa vá một zero-day trên switch GS1900 — và câu chuyện đáng chú ý là bản vá tháng 6 trước đó không chặn được kẻ tấn công.

Lỗ hổng là gì

CVE-2026-107441: lỗi out-of-bounds write (CWE-787) trong chương trình CGI quản trị web của switch Zyxel GS1900. Kẻ tấn công không cần đăng nhập, chỉ cần gửi HTTP request đặc biệt tới /cgi-bin/dispatcher.cgi (code tương tự cũng có trong httprestorecfg.cgi và httpupload.cgi) là chạy được lệnh hệ điều hành với quyền root. Zyxel và NVD chấm CVSS 8.8 (vector AV:A — cần ở mạng kề); Binarly chấm 9.8 (cho rằng có thể khai thác từ xa).

Ảnh hưởng: 10 mẫu GS1900 (GS1900-8, 8HP, 10HP, 16, 24, 24E, 24EP, 24HPv2, 48, 48HPv2) chạy firmware 2.90(....2)C0 trở xuống — kể cả bản đã vá lỗi tháng 6.

Vụ khai thác thật

Từ khoảng 17/08/2026, khoảng 996 switch ở 48 nước đã bị xâm nhập (Italy, Mỹ, Đài Loan bị nặng nhất), theo GreyNoise. Kẻ tấn công lấy cắp file cấu hình, hash mật khẩu root và thông tin mạng, rồi cài backdoor JITTERLY và rootkit SIXZUT. Nhóm này được GreyNoise gọi là Kapibala, nghi có liên hệ với chiến dịch Red Heron (nhóm nói tiếng Trung).

Điểm xoắn: ban đầu vụ này bị quy cho CVE-2026-7273 — lỗi mà Zyxel đã vá hồi tháng 6/2026 và CISA đã đưa vào KEV ngày 21/09. Nhưng Binarly phân tích và phát hiện exploit thực tế nhắm vào một lỗ hổng khác, chưa từng được biết tới: bản vá tháng 6 là bypass — kẻ tấn công đã phát triển exploit chạy được ngay trên firmware đã vá. Binarly báo cáo lỗi này ngày 29/09, Zyxel giữ CVE ngày 11/10.

Vá thế nào

  • Lên firmware 2.90 Patch 3 (bản .3 cho từng mẫu), phát hành 22–23/10/2026; advisory của Zyxel ra ngày 03/11/2026.
  • Lưu ý: CVE-2026-107441 chưa vào CISA KEV tính đến 05/11 — chỉ có CVE-2026-7273 (lỗi cũ) nằm trong KEV. Đừng nhầm hai CVE này với nhau.
  • Gỡ giao diện quản trị web khỏi internet, chỉ cho mạng quản trị tin cậy truy cập. Kiểm tra log HTTP/CGI POST bất thường nhắm vào dispatcher.cgi.

Bài học: "đã vá theo advisory" chưa chắc đã an toàn nếu bản vá chỉ sửa một lỗi mà kẻ tấn công đã có lỗi khác. Với thiết bị mạng ở giữa hạ tầng, một switch bị chiếm là bàn đạp vào cả mạng nội bộ.

Nguồn:

  • Zyxel advisory 03/11/2026
  • Binarly research 03/11/2026
  • BleepingComputer / SecurityWeek (04–05/11/2026)