Zyxel corrige una vulnerabilidad de día cero que permitía hackear casi 1000 conmutadores de red.

Zyxel ha corregido una vulnerabilidad de día cero en sus switches de red de la serie GS1900 que los hackers explotaron para comprometer cerca de 1000 dispositivos en todo el mundo y robar archivos de configuración y credenciales.

La vulnerabilidad, identificada como CVE-2026-107441, consiste en una falla de escritura fuera de límites en la interfaz de administración web de los switches que permite a un atacante no autenticado con acceso a la red ejecutar comandos del sistema operativo mediante solicitudes HTTP especialmente diseñadas.

La falla afecta a diez modelos de switches GS1900, y Zyxel publicó actualizaciones de seguridad el 22 de octubre y un aviso de seguridad el 3 de noviembre.

Sin embargo, inicialmente se confundió la vulnerabilidad con una falla anterior que Zyxel ya había corregido meses antes de que comenzaran los ataques. Ataques vinculados a una vulnerabilidad de día cero

El 16 de junio de 2026, Zyxel publicó actualizaciones de seguridad para solucionar la vulnerabilidad CVE-2026-7273, una vulnerabilidad de desbordamiento de búfer de preautenticación que afectaba a los mismos switches GS1900.

A partir del 17 de agosto, la empresa de ciberseguridad GreyNoise detectó a un presunto atacante de habla china, identificado como Kapibala, explotando switches de Zyxel. Según sus informes, los atacantes comprometieron 996 dispositivos en 48 países.

Los atacantes explotaron la vulnerabilidad para ejecutar comandos de forma remota antes de descargar un script que recopilaba configuraciones de dispositivos, credenciales de root cifradas e información de red.

GreyNoise vinculó a Kapibala con la campaña de hacking Red Heron, que, según informó previamente Acronis, explotaba una vulnerabilidad crítica en el servicio Git autohospedado Gitea.

Cuando GreyNoise reveló la campaña el 21 de septiembre, atribuyó la explotación a la vulnerabilidad CVE-2026-7273, la cual Zyxel había corregido en junio.

Ese mismo día, la CISA añadió la vulnerabilidad CVE-2026-7273 a su catálogo de Vulnerabilidades Explotadas Conocidas, lo que obliga a las agencias federales a solucionar el problema.