Zyxel GS1900, zero-day CVE-2026-107441: aggiornare al firmware 2.90 Patch 3

Articolo aggiornato al 6 novembre 2026. La situazione è ancora in evoluzione: lo aggiornerò se Zyxel rilascia nuove correzioni.

Gli switch Zyxel GS1900 sono ovunque nelle piccole aziende: costano poco, sono gestiti via web e una volta installati nell’armadio di rete nessuno li tocca più per anni. Proprio per questo la notizia di questi giorni merita attenzione: Zyxel ha pubblicato il 3 novembre un avviso per una nuova vulnerabilità, la CVE-2026-107441, che secondo i ricercatori di Binarly è stata sfruttata come zero-day per compromettere switch GS1900 in giro per il mondo.

Il punto delicato è che l’aggiornamento di giugno non bastava. Le compromissioni erano state inizialmente attribuite a una falla corretta a giugno, la CVE-2026-7273, ma Binarly ha dimostrato che i firmware 2.90 Patch 2 restavano attaccabili. Se avete aggiornato a giugno e vi sentite tranquilli, non lo siete ancora: serve il nuovo firmware 2.90 Patch 3.

Chi è coinvolto

Secondo l’avviso ufficiale di Zyxel sono interessati dieci modelli della serie GS1900. Per ciascuno trovate la versione vulnerabile e quella corretta:

• GS1900-8: vulnerabile fino a 2.90(AAHH.2)C0, corretto in 2.90(AAHH.3)C0
• GS1900-8HP: vulnerabile fino a 2.90(AAHI.2)C0, corretto in 2.90(AAHI.3)C0
• GS1900-10HP: vulnerabile fino a 2.90(AAZI.2)C0, corretto in 2.90(AAZI.3)C0
• GS1900-16: vulnerabile fino a 2.90(AAHJ.2)C0, corretto in 2.90(AAHJ.3)C0
• GS1900-24: vulnerabile fino a 2.90(AAHL.2)C0, corretto in 2.90(AAHL.3)C0
• GS1900-24E: vulnerabile fino a 2.90(AAHK.2)C0, corretto in 2.90(AAHK.3)C0
• GS1900-24EP: vulnerabile fino a 2.90(ABTO.2)C0, corretto in 2.90(ABTO.3)C0
• GS1900-24HPv2: vulnerabile fino a 2.90(ABTP.2)C0, corretto in 2.90(ABTP.3)C0
• GS1900-48: vulnerabile fino a 2.90(AAHN.2)C0, corretto in 2.90(AAHN.3)C0
• GS1900-48HPv2: vulnerabile fino a 2.90(ABTQ.2)C0, corretto in 2.90(ABTQ.3)C0

Zyxel precisa che le patch sono state rilasciate per i modelli ancora nel periodo di supporto per le vulnerabilità. Se avete un GS1900 che non compare nell’elenco, verificate sul sito Zyxel lo stato di supporto del vostro modello prima di concludere che siete al sicuro.

Perché succede

Si tratta di una scrittura fuori dai limiti di memoria (out-of-bounds write) nel programma CGI che gestisce l’interfaccia web dello switch. Zyxel la classifica con punteggio CVSS 8.8 e la descrive come sfruttabile da un attaccante nella LAN, senza autenticazione, con una richiesta HTTP costruita ad arte che permette di eseguire comandi del sistema operativo. Binarly, che l’ha scoperta, le assegna invece 9.8 e parla di esecuzione di comandi come root.

Le campagne segnalate dai ricercatori riguardano quasi mille switch in decine di paesi, a partire da agosto: gli attaccanti hanno raccolto configurazioni, hash delle credenziali e informazioni sulla rete. Non è chiaro quanti di questi dispositivi siano caduti per la nuova falla e quanti per quella di giugno, ma un dato salta all’occhio: più della metà usava ancora le credenziali di fabbrica.

Attenzione: “LAN-based” non vuol dire “innocuo”. Basta un PC infetto in rete, un ospite collegato alla VLAN sbagliata o un’interfaccia di gestione esposta su Internet per rendere la falla raggiungibile.

Prima di iniziare

• Fate un censimento: annotate modello, versione firmware e indirizzo IP di ogni GS1900, compresi quelli dimenticati in magazzino o nelle sedi distaccate.
• Esportate la configurazione di ogni switch dall’interfaccia web e conservatela fuori dallo switch. Vi serve sia per ripristinare in caso di problemi sia per confrontarla dopo.
• Scaricate il firmware solo dal sito ufficiale Zyxel, scegliendo il file esatto per il vostro modello: i codici tra parentesi (AAHL, ABTP e così via) cambiano da modello a modello.
• Pianificate una finestra di manutenzione: l’aggiornamento richiede un riavvio e durante quei minuti tutto ciò che passa dallo switch resta scollegato, telefoni VoIP e access point alimentati in PoE compresi.

Come aggiornare e mettere in sicurezza gli switch

Per trovare velocemente gli switch che rispondono sull’interfaccia web, da un PC amministrativo potete fare una scansione della subnet di gestione:

nmap -p 80,443 --open 192.168.1.0/24

Poi, per ogni switch:

1. Accedete all’interfaccia web e verificate la versione firmware installata. Se termina con .2)C0 o è precedente, lo switch è vulnerabile.
2. Esportate la configurazione corrente, se non l’avete già fatto.
3. Caricate il firmware 2.90 Patch 3 corrispondente al modello dalla sezione di manutenzione del firmware e riavviate lo switch.
4. Al riavvio controllate che la versione riportata sia quella corretta, ad esempio 2.90(AAHL.3)C0 per un GS1900-24, e che porte, VLAN e PoE funzionino come prima.

L’aggiornamento chiude la falla ma non annulla una compromissione già avvenuta. Per questo, subito dopo:

5. Cambiate la password di amministrazione, soprattutto se era ancora quella di fabbrica, e usatene una diversa per ogni switch.
6. Confrontate la configurazione con un backup precedente ad agosto, se l’avete: cercate utenti sconosciuti, VLAN, mirroring di porte o impostazioni SNMP che non avete creato voi.
7. Se lo switch conosceva credenziali usate anche altrove (server RADIUS, community SNMP, account condivisi), cambiatele anche lì: gli attaccanti hanno sottratto proprio le configurazioni.

Infine, la gestione. Io l’interfaccia web degli switch la lascio raggiungibile solo da una VLAN di gestione dedicata o da pochi IP amministrativi, mai dalla LAN degli utenti e tanto meno da Internet. Per controllare che non ci siano port forwarding dimenticati, verificate dall’esterno l’IP pubblico dell’azienda (qui un indirizzo di esempio):

nmap -Pn -p 80,443,8080,8443 203.0.113.10

Se una di queste porte risponde e porta allo switch, chiudetela sul firewall prima ancora di aggiornare.

Se il problema persiste

Se l’aggiornamento fallisce, ricontrollate di aver scaricato il file per il modello esatto, comprese le revisioni come v2: con tanti modelli dal nome quasi identico, sbagliare file è facile. Se trovate nella configurazione modifiche che non sapete spiegare, io non mi fiderei a lasciare lo switch com’è: lo sconsiglio. Meglio ripartire da una configurazione pulita, dopo il firmware nuovo, e ricaricare a mano solo le impostazioni che conoscete.

Se infine il vostro modello non è più coperto da patch, la scelta è sostituirlo. Nel frattempo isolate l’interfaccia di gestione il più possibile, ma consideratela una soluzione temporanea.

Vi è capitato di trovare GS1900 ancora con la password di fabbrica o con l’interfaccia esposta? Raccontate nei commenti cosa avete trovato e come avete gestito l’aggiornamento: possono essere utili ad altri.