Zyxel GS1900 : le correctif de juin n’a pas arrêté le zero-day CVE-2026-107441
Vous avez un commutateur Zyxel GS1900 dans le local technique? Depuis août 2026, un groupe suivi sous le nom Kapibala (lié à la campagne Red Heron) a compromis environ 996 de ces appareils dans 48 pays. On a d’abord blâmé une ancienne faille déjà corrigée en juin. Binarly a ensuite prouvé que l’exploit frappait encore tous les firmwares « Patch 2 ». La vraie faille, CVE-2026-107441, a son avis Zyxel le 3 novembre 2026.
Voici la chronologie, le tableau des modèles à corriger, et la checklist à faire aujourd’hui — même si vous croyez déjà être à jour.
Zyxel GS1900 : chronologie d’un zero-day mal nommé
De la mauvaise CVE à la vraie
16 juin 2026
Correctif pour CVE-2026-7273
Zyxel publie des mises à jour pour une écriture hors limites pré-authentification sur les GS1900 (souvent appelée « Patch 2 »).
Vers le 17 août
Campagne Kapibala / Red Heron
GreyNoise observe l’exploitation de commutateurs GS1900. Environ 996 appareils dans 48 pays seront compromis; configurations et identifiants root hachés sont exfiltrés.
21 sept.
Mauvaise attribution
GreyNoise publie en liant la campagne à CVE-2026-7273. La CISA ajoute cette CVE à son catalogue des failles exploitées le même jour.
28–29 sept.
Binarly contredit le diagnostic
En analysant un exploit récupéré, Binarly montre qu’il fonctionne encore sur tous les firmwares Patch 2, et le signale à Zyxel.
22 oct.
Patch 3 (firmware .3)
Zyxel sort les firmwares 2.90(…).3 qui limitent la taille des paramètres HTTP et valident le compteur avant copie en mémoire.
3 nov.
Avis officiel CVE-2026-107441
Zyxel publie l’avis pour l’écriture hors limites dans dispatcher.cgi / l’interface web : attaquant non authentifié sur le LAN → exécution de commandes OS.
En clair : le correctif de juin fermait une porte. Les attaquants en ont utilisé une autre, sur le même programme CGI. Si votre GS1900 est resté en 2.90(…).2, il n’était pas protégé contre cette campagne.
Modèles touchés et firmwares à installer
Selon l’avis Zyxel du 3 novembre 2026, dix modèles de la série GS1900 sont concernés. Versions 2.90(…).2 et antérieures → passez à 2.90(…).3 :
| Modèle | Version touchée | Correctif (Patch 3) |
|---|---|---|
| GS1900-8 | 2.90(AAHH.2)C0 et antérieures | 2.90(AAHH.3)C0 |
| GS1900-8HP | 2.90(AAHI.2)C0 et antérieures | 2.90(AAHI.3)C0 |
| GS1900-10HP | 2.90(AAZI.2)C0 et antérieures | 2.90(AAZI.3)C0 |
| GS1900-16 | 2.90(AAHJ.2)C0 et antérieures | 2.90(AAHJ.3)C0 |
| GS1900-24 | 2.90(AAHL.2)C0 et antérieures | 2.90(AAHL.3)C0 |
| GS1900-24E | 2.90(AAHK.2)C0 et antérieures | 2.90(AAHK.3)C0 |
| GS1900-24EP | 2.90(ABTO.2)C0 et antérieures | 2.90(ABTO.3)C0 |
| GS1900-24HPv2 | 2.90(ABTP.2)C0 et antérieures | 2.90(ABTP.3)C0 |
| GS1900-48 | 2.90(AAHN.2)C0 et antérieures | 2.90(AAHN.3)C0 |
| GS1900-48HPv2 | 2.90(ABTQ.2)C0 et antérieures | 2.90(ABTQ.3)C0 |
Sur l’interface du commutateur, notez le numéro de firmware exact avant et après la mise à jour. Ne vous fiez pas à un simple « à jour » dans un outil tiers.
Pourquoi 564 appareils n’avaient même pas besoin de l’exploit
GreyNoise a aussi constaté que 564 des 996 commutateurs compromis avaient encore les identifiants d’usine. Autrement dit : même sans zero-day, l’interface web joignable avec le mot de passe par défaut suffisait souvent. Deux leçons pour une PME :
996
Commutateurs GS1900 compromis (GreyNoise)
48
Pays touchés
564
Encore en identifiants d’usine
22 oct.
Date du firmware Patch 3
Checklist de décision pour votre local technique
Faites ceci dans l’ordre
- ☐ Inventaire : avez-vous un GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48 ou -48HPv2?
- ☐ Firmware : installez le Patch 3 (2.90(…).3) pour votre modèle, depuis le site ou le portail Zyxel.
- ☐ Exposition : l’interface web du commutateur ne doit pas être joignable depuis Internet. Gestion depuis le LAN (ou un RPV) seulement.
- ☐ Identifiants : changez immédiatement tout mot de passe encore à la valeur d’usine; imposez un mot de passe unique et long.
- ☐ Hypothèse de vol : si l’interface était joignable pendant la fenêtre de campagne (depuis mi-août), supposez que la configuration et des identifiants ont pu être volés — tournez les secrets liés et surveillez les changements de VLAN / miroir de ports.
- ☐ Preuve : gardez une capture ou un export de la page « System Information » montrant le nouveau firmware.
Un commutateur mal géré ouvre souvent la voie au reste du réseau, comme on l’a vu avec d’autres équipements exposés dans nos articles sur la cybersécurité en PME et la gestion des serveurs.
Comment NeoTech peut vous aider
Nous inventairons vos commutateurs, appliquons le Patch 3, retirons l’interface web d’Internet et tournons les identifiants. Notre surveillance automatisée 24/7 avec intervention du technicien de garde signale les changements de configuration réseau et les nouveaux comptes d’administration. Pour un portrait global, voyez nos services de cybersécurité et nos services infonuagiques et de consultation.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous regardons ensemble s’il y a un GS1900 chez vous, quel firmware il affiche, et si son interface web est visible depuis l’extérieur.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- Zyxel — Security advisory GS1900 (CVE-2026-107441), 3 novembre 2026 (en anglais)
- BleepingComputer — Zyxel fixes zero-day exploited to hack nearly 1,000 network switches, 4 novembre 2026 (en anglais)
- The Hacker News — Zyxel GS1900 patch fails to block zero-day, novembre 2026 (en anglais)
- GreyNoise — Open Season on Kapibala (996 commutateurs GS1900) (en anglais)
Photo : Pixabay, Pexels (licence Pexels).