Vulnerabilidades de Zyxel y Veeam bajo explotación activa con acceso de comando y sistema.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) añadió el lunes a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) una vulnerabilidad de seguridad, ya parcheada, que afectaba a los switches de la serie Zyxel GS1900, citando evidencia de explotación activa.

La vulnerabilidad, identificada como CVE-2026-7273 (puntuación CVSS: 8.8), es una vulnerabilidad de desbordamiento de búfer basada en pila que podría resultar en la ejecución de comandos arbitrarios del sistema operativo.

"Una vulnerabilidad de desbordamiento de búfer basada en pila en el programa CGI del firmware del switch Zyxel serie GS1900 podría permitir a un atacante no autenticado en una red LAN explotar la vulnerabilidad y potencialmente ejecutar comandos del sistema operativo mediante una solicitud HTTP manipulada", indicó Zyxel en un aviso publicado en junio de 2026.

El problema se ha solucionado en las siguientes versiones:

• GS1900-8 2.90(AAHH.1)C0 y anteriores: Corregido en la versión 2.90(AAHH.2)C0
• GS1900-8HP 2.90(AAHI.1)C0 y anteriores: Corregido en la versión 2.90(AAHI.2)C0
• GS1900-10HP 2.90(AAZI.1)C0 y anteriores: Corregido en la versión 2.90(AAZI.2)C0
• GS1900-16 2.90(AAHJ.1)C0 y anteriores: Corregido en la versión 2.90(AAZI.2)C0 2.90(AAHJ.2)C0
• GS1900-24 2.90(AAHL.1)C0 y versiones anteriores: Corregido en 2.90(AAHL.2)C0
• GS1900-24E 2.90(AAHK.1)C0 y versiones anteriores: Corregido en 2.90(AAHK.2)C0
• GS1900-24EP 2.90(ABTO.1)C0 y versiones anteriores: Corregido en 2.90(ABTO.2)C0
• GS1900-24HPv2 2.90(ABTP.1)C0 y versiones anteriores: Corregido en 2.90(ABTP.2)C0
• GS1900-48 2.90(AAHN.1)C0 y versiones anteriores: Corregido en 2.90(AAHN.2)C0
• GS1900-48HPv2 2.90(ABTQ.1)C0 y versiones anteriores: corregido en la versión 2.90(ABTQ.2)C0.

Esta corrección se produce tras un informe de GreyNoise sobre un presunto ciberdelincuente de habla china que ha explotado la vulnerabilidad desde el 17 de agosto de 2026, logrando extraer datos de 996 switches Zyxel en 48 países, incluyendo Italia, Estados Unidos, Taiwán, Francia y Corea del Sur. Se cree que el atacante aprovechó la vulnerabilidad para ejecutar el protocolo TFTP (Protocolo Trivial de Transferencia de Archivos) y recuperar y ejecutar un script de recolección personalizado. Los datos transmitidos incluyen configuraciones, credenciales de administrador cifradas e información de red. «El código de explotación se encontraba dentro de un script de Python altamente ofuscado mediante la herramienta comercial PyArmor», afirmó GreyNoise. "Si bien el script se dirige explícitamente a las versiones de firmware 2.10-2.90 del GS1900-24, también proporciona opciones de línea de comandos (por ejemplo, dirección base de libc, desplazamientos globales) para dirigirse a otras versiones de firmware que se encuentren dentro del alcance de la vulnerabilidad."