Zyxel heeft firmware-updates uitgebracht voor een kwetsbaarheid in netwerkswitches uit de GS1900-serie. Het lek, geregistreerd als CVE-2026-107441, maakt het mogelijk dat een aanvaller zonder inloggegevens commando’s uitvoert op een kwetsbare switch via een speciaal geprepareerd HTTP-verzoek aan de webinterface. Volgens de beschikbare informatie is de kwetsbaarheid in verband gebracht met aanvallen waarbij wereldwijd ongeveer duizend switches zijn gecompromitteerd.
Kwetsbaarheid in webinterface van GS1900-switches
De kwetsbaarheid zit in de webinterface van de Zyxel GS1900-serie. Een ongeauthenticeerde aanvaller kan door het versturen van een aangepast HTTP-request opdrachten op het apparaat laten uitvoeren. Daarmee gaat het om een ernstig type kwetsbaarheid: de aanvaller hoeft niet eerst geldige beheerdersgegevens te hebben om code of commando’s op het systeem te starten.
Netwerkswitches vormen vaak een centraal onderdeel van bedrijfsnetwerken. Ze verwerken verkeer tussen systemen, servers, werkplekken en andere netwerkapparatuur. Wanneer een switch wordt overgenomen, kan dat niet alleen gevolgen hebben voor de beschikbaarheid van het netwerk, maar ook voor de vertrouwelijkheid van configuraties en netwerkgegevens.
Onderzoekers koppelen eerdere aanval aan nieuw CVE-nummer
Op 21 september meldde cybersecuritybedrijf GreyNoise dat bij een aanval duizend Zyxel GS1900-switches in 48 landen waren gehackt. Op dat moment werd de aanval gekoppeld aan een andere kwetsbaarheid, CVE-2026-7273. Zyxel had daarvoor op 16 juni al een update uitgebracht. Ook via dat probleem konden aanvallers met een speciaal geprepareerd request commando’s op de switch uitvoeren.
Cybersecuritybedrijf Binarly stelt nu dat de eerder beschreven aanval niet via CVE-2026-7273 is uitgevoerd, maar via CVE-2026-107441. Voor die kwetsbaarheid heeft Zyxel nu firmware-updates beschikbaar gesteld. Daarmee verandert de technische duiding van de aanval: de getroffen apparaten zouden zijn misbruikt via een ander lek dan aanvankelijk werd aangenomen.
Gestolen gegevens van switches
Volgens de onderzoekers is CVE-2026-107441 gebruikt om gevoelige informatie van getroffen switches buit te maken. Daarbij gaat het onder meer om gehashte rootcredentials, configuratiebestanden en netwerkinformatie. Zulke gegevens kunnen voor aanvallers waardevol zijn, omdat ze inzicht geven in de inrichting van een netwerk en mogelijk kunnen helpen bij vervolgacties.
GreyNoise merkte op dat de buitgemaakte credentials weliswaar gehasht waren, maar dat 564 slachtoffers standaardcredentials gebruikten. Het grootste deel van deze slachtoffers bevindt zich volgens de melding in Italië, de Verenigde Staten en Taiwan. Het gebruik van standaardinloggegevens blijft daarmee een belangrijke factor in de impact van netwerkcompromittering, ook wanneer wachtwoorden niet in platte tekst zijn opgeslagen.
Bevestigd nieuws en analyse
Bevestigd
Bevestigd is dat Zyxel firmware-updates heeft uitgebracht voor CVE-2026-107441 in de GS1900-serie. Ook is gemeld dat een aanvaller zonder authenticatie via een speciaal HTTP-verzoek commando’s kan uitvoeren op de switch. Daarnaast is door onderzoekers gerapporteerd dat ongeveer duizend switches in 48 landen zijn gehackt en dat daarbij gevoelige gegevens, waaronder gehashte rootcredentials en configuraties, zijn buitgemaakt.
Analyse
De casus laat zien hoe risicovol beheerinterfaces van netwerkapparatuur kunnen zijn wanneer zij kwetsbaar zijn of onvoldoende worden afgeschermd. Switches worden vaak als stabiele infrastructuur gezien en krijgen daardoor niet altijd dezelfde patchaandacht als servers of werkplekken. Juist omdat ze diep in het netwerk staan, kan misbruik van een kwetsbaarheid grote gevolgen hebben.
Voor organisaties is vooral relevant dat de aanval niet alleen draaide om het overnemen van apparaten, maar ook om het verzamelen van configuratie- en netwerkgegevens. Die informatie kan een aanvaller helpen om beter te begrijpen hoe een netwerk is opgebouwd. In combinatie met standaardcredentials kan dat de drempel voor verdere misbruikpogingen verlagen.
De verwarring rond het gebruikte CVE-nummer onderstreept bovendien dat incidentrespons lastig kan zijn wanneer meerdere vergelijkbare kwetsbaarheden in dezelfde productlijn bestaan. Het feit dat een eerdere patch beschikbaar was voor CVE-2026-7273 betekent niet automatisch dat systemen beschermd waren tegen CVE-2026-107441. Voor beheerders is daarom niet alleen de aanwezigheid van een update relevant, maar ook de vraag of alle kwetsbaarheden in de gebruikte firmwareversie zijn verholpen.
Bron: security.nl
