KLYNLABSZyxel GS1900 : le correctif de juin ne ferme pas CVE-2026-107441
Le 3 novembre 2026, Zyxel a publié l'avis CVE-2026-107441, noté 8,8 : sur dix modèles de commutateurs GS1900, un attaquant sans compte, placé sur le réseau local, peut exécuter des commandes du système, y compris si l'appareil porte déjà le correctif de juin contre CVE-2026-7273.
GreyNoise a compté, autour du 17 août 2026, 996 de ces commutateurs dans 48 pays, dont 90 en France. BleepingComputer a repris le dossier le 4 novembre 2026 à 20 h 58 UTC. Le micrologiciel correctif date du 22 octobre ; l'avis public, du 3 novembre.
Dix modèles, un score de 8,8
L'avis de Zyxel Networks, daté du 3 novembre 2026, décrit une écriture hors limites dans le programme CGI du micrologiciel. L'attaquant est non authentifié et se trouve sur le réseau local. Les produits absents du tableau ne sont pas concernés. La fiche NVD, publiée le 3 novembre à 02 h 16 UTC et mise à jour le 4 novembre à 14 h 17 UTC, reprend le CVSS 3.1 de 8,8, vecteur CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Elle ne nomme que le GS1900-24E jusqu'à 2.90(AAHK.2)C0. L'avis vise dix modèles en révision « .2 » ou plus ancienne.
Le 22 octobre 2026, Zyxel a publié la révision « .3 » pour ces dix modèles, par exemple 2.90(AAHL.3)C0 sur le GS1900-24 et 2.90(AAHK.3)C0 sur le GS1900-24E. L'avis donne les huit autres références. La notice du CERT Santé, publiée le même jour, reprend la liste, parle de voisinage réseau, et marque l'exploitation active comme non constatée, sans preuve de concept publique.
Le correctif catalogué en septembre ne suffisait pas
Le 16 juin 2026, l'avis CVE-2026-7273 décrivait un dépassement de tampon dans la pile du même programme et recommandait les révisions « .2 ». Zyxel remerciait Lei Gu, Jun Cao, Zhiqing Rui, Jingzheng Wu et Tianyue Luo, de l'ISCAS. Le 21 septembre 2026, la CISA a ajouté ce numéro à son catalogue. Binarly date du même jour le billet GreyNoise qui y rattachait l'outil.
Fernando Mercês et Yegor Vasilenko écrivent, le 3 novembre 2026 à 05 h 22 UTC, que l'outil visait aussi ces micrologiciels :
the latest firmware version released as a fix to CVE-2026-7273 is vulnerable to the same exploit, which works without changes.
Binarly a trouvé l'exploit le 17 septembre 2026, sur une infrastructure liée à JITTERLY et SIXZUT, et confirmé le 28 septembre que les dix builds « .2 » restaient vulnérables. Zyxel, prévenu le 29 septembre, a réservé CVE-2026-107441 le 11 octobre. D'après Binarly, le numéro de juin visait le compteur de paramètres, malgré le libellé de dépassement de pile, et le contrôle manquant sur la taille de chaque paramètre formait une seconde faille. Les builds « .3 » vérifient ce nombre avant la copie. L'avis remercie Yegor Vasilenko. L'identifiant Binarly est BRLY-2026-057.
La faille WordPress CVE-2026-119977 suit l'autre chemin : la CISA y a confirmé l'exploitation. Ici, le numéro catalogué est celui de juin.
90 des 996 commutateurs étaient en France
GreyNoise situe l'exfiltration autour du 17 août 2026 : configurations, empreintes des identifiants root et informations réseau, sur 996 GS1900 dans 48 pays. Binarly date le billet GreyNoise au 21 septembre. La France y compte 90 commutateurs, derrière l'Italie (133), les États-Unis (129) et Taïwan (123). La Suisse en a 8, la Belgique 2. Sur 996, 564 gardaient les identifiants d'usine : les secrets pris étaient des empreintes, pas des mots de passe en clair. GreyNoise nomme l'acteur Kapibala et le rapproche de l'opération Red Heron d'Acronis TRU, le 13 septembre 2026.
CVE-2026-107441 n'est pas dans le catalogue du 4 novembre
Le catalogue publié le 4 novembre 2026 à 20 h 00 UTC contient CVE-2026-7273, ajoutée le 21 septembre, et pas CVE-2026-107441. Le coordinateur CISA indique, au 4 novembre à 04 h 56 UTC, une exploitation « none », une automatisation « no » et un impact technique « total ». Comme pour d'autres entrées de ce catalogue, le numéro de septembre ne prouve pas que le binaire livré alors arrêtait l'outil. La CISA n'a pas confirmé l'exploitation de CVE-2026-107441. Le correctif demandé à cette date laissait ouverte la faille séparée le 11 octobre.
Installer la révision .3, puis remplacer les mots de passe
Un GS1900 en révision « .2 », ou plus ancien, n'est pas à jour pour CVE-2026-107441. La version à installer est le build « .3 » du 22 octobre. Éloigner l'interface d'administration des réseaux d'invités réduit le scénario décrit par Zyxel, sans remplacer la mise à jour. Un commutateur dont cette interface était joignable en août est à traiter comme possiblement compromis : d'abord le build « .3 », ensuite de nouveaux mots de passe d'administration.
Sources
Partager
Cet article peut servir à quelqu'un ?
Envoyez-le à un proche en un geste, ou partagez-le sur vos réseaux. Voici la carte qui s'affichera avec votre lien.
Votre mot accompagne le lien. Modifiez-le si vous voulez.
À lire ensuite
Le Crédit Mutuel Arkéa confirme des opérations frauduleuses
Le Crédit Mutuel Arkéa a confirmé, le 4 novembre 2026, une attaque ayant permis des opérations frauduleuses, sans en publier le montant. La banque dit l'incident maîtrisé et assure que ses clients n'en subiront pas le coût, tout en suspendant certaines transactions.
Kelvyn4 min de lecture
La CISA confirme l'exploitation de la faille WordPress CVE-2026-119977
Le 3 novembre 2026, la CISA a ajouté la faille CVE-2026-119977 du cœur de WordPress à son catalogue des vulnérabilités déjà exploitées. Wordfence la note 8,1 sur 10 : elle permet d'exécuter du code sans compte pendant le déballage d'une mise à jour complète, et le correctif de la branche courante est la version 7.1.4 du 28 octobre 2026.
Kelvyn4 min de lecture
Le courriel mSecure du 3 novembre 2026 demande de changer les secrets du coffre
Le 3 novembre 2026, des clients du gestionnaire mSecure ont publié un courriel de mSeven Software signalant une activité suspecte et demandant de protéger le contenu de l'application. Le texte ne date pas les faits et ne dit pas si le coffre a été lu.
Kelvyn4 min de lecture