Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Binarly ha scoperto la vulnerabilità CVE-2026-107441 negli switch Zyxel GS1900. Una patch rilasciata a giugno 2026 non aveva corretto completamente il problema, consentendo agli hacker di eseguire comandi con privilegi root senza autenticazione. GreyNoise aveva già rilevato 996 dispositivi compromessi in 48 Paesi.
Gli esperti di Binarly hanno scoperto che il patch di giugno per gli switch Zyxel GS1900 non proteggeva dall’exploit utilizzato dagli hacker per violare quasi 1000 dispositivi. Di conseguenza, i malintenzionati hanno sfruttato una nuova vulnerabilità 0-day che permetteva di eseguire comandi con privilegi root senza autenticazione.
I ricercatori riferiscono che la nuova vulnerabilità ha ricevuto l’identificatore CVE-2026-107441 e colpisce dieci modelli della serie di switch GS1900. Il bug è un errore di scrittura oltre i limiti del buffer (out-of-bounds write) in un componente che gestisce le richieste all’interfaccia web di gestione del dispositivo. Inoltre, per sfruttare la vulnerabilità, l’attaccante non ha bisogno di autenticazione: è sufficiente avere accesso di rete all’interfaccia web dello switch e inviare una richiesta HTTP appositamente preparata.
Gli ingegneri di Zyxel hanno valutato la gravità di questo problema con 8,8 punti sulla scala CVSS, ma gli esperti di Binarly hanno assegnato alla vulnerabilità un punteggio di 9,8.
Inoltre, la CVE-2026-107441 si è rivelata strettamente legata a un’altra problematica. Infatti, già a giugno 2026, gli sviluppatori di Zyxel hanno corretto la vulnerabilità CVE-2026-7273, rilasciando un firmware aggiornato 2.90 Patch 2. Il bug corretto allora era anch’esso legato al meccanismo di elaborazione dei parametri HTTP e all’assenza di verifica del loro numero.
Poco dopo, gli analisti di GreyNoise hanno avvertito di osservare attacchi contro gli switch della serie GS1900, dove gli hacker avevano già compromesso 996 dispositivi in 48 paesi. Gli attaccanti raccoglievano dalle apparecchiature violate le configurazioni, gli hash delle credenziali root e le informazioni sulle reti.
Come emerso ora, la correzione di giugno si è rivelata incompleta. Il fatto è che allora gli sviluppatori avevano aggiunto una verifica del numero di parametri, ma non ne avevano limitato la dimensione, e la verifica stessa veniva eseguita solo dopo la copia dei dati in memoria.
Inizialmente, gli esperti di GreyNoise avevano associato questi attacchi proprio al bug CVE-2026-7273, ma la ricerca ora pubblicata da Binarly ha dimostrato che gli attaccanti hanno continuato a sfruttare il problema anche dopo il rilascio del patch.
Gli specialisti di Binarly raccontano che il 17 settembre hanno scoperto un exploit scritto in Python per gli switch Zyxel su un server collegato all’infrastruttura del backdoor JITTERLY, del rootkit SIXZUT e della campagna malevola Red Heron. Lo studio di questo exploit ha permesso di individuare un errore nel componente CGI del firmware Zyxel GS1900 che gestisce le richieste HTTP all’interfaccia web dello switch.
Per i parametri di tali richieste, il programma utilizzava un’area di memoria calcolata per un massimo di 140 elementi, ma non ne limitava la dimensione di ciascuno. L’exploit inviava un parametro eccessivamente grande, il 140° parametro, che usciva dai limiti della memoria allocata e, di conseguenza, sovrascriveva il contatore dei parametri. Poiché il parametro successivo veniva scritto già oltre i confini del buffer, ciò permetteva agli attaccanti di ottenere l’esecuzione di un comando arbitrario con privilegi root.
Gli specialisti di Binarly hanno notificato agli sviluppatori di Zyxel del problema riscontrato il 29 settembre, dopo di che l’azienda ha confermato la presenza di una vulnerabilità separata, che ha ricevuto il proprio identificatore CVE-2026-107441.
Per eliminare la nuova vulnerabilità, gli sviluppatori hanno di nuovo modificato il meccanismo di elaborazione dei parametri HTTP: ora il loro numero viene verificato prima della scrittura dei dati in memoria, e la dimensione di ciascun parametro è limitata. La correzione è stata inclusa nel firmware 2.90 Patch 3, rilasciato alla fine di ottobre.
Sono ufficialmente aperte le adesioni al Program Sponsor della Red Hot Cyber Conference 2027, la sesta edizione dell’evento annuale gratuito promosso dalla community di Red Hot Cyber per diffondere cultura, competenze e consapevolezza sui temi della cybersecurity, dell’innovazione e delle tecnologie digitali. La Conference si terrà a Roma, martedì 18 e mercoledì 19 maggio 2027, presso l’Auditorium del Seraphicum, nel cuore del quartiere EUR, con una giornata dedicata ai workshop pratici e alle attività tecniche e una seconda giornata interamente dedicata alla conferenza.
Anche per il 2027, le aziende potranno scegliere di sostenere concretamente il progetto attraverso il Program Sponsor, partecipando alla crescita di un appuntamento che mette in relazione professionisti, aziende, istituzioni, studenti, ricercatori e appassionati di tecnologia. Il programma prevede la possibilità di aderire come Sponsor Sostenitore, una formula pensata per le aziende che desiderano essere tra le prime realtà a credere e contribuire alla realizzazione della nuova edizione, oppure attraverso i tre consueti livelli di sponsorizzazione Platinum, Gold e Silver. Ogni livello di sponsorizzazione acquistato, sarà accompagnato da un pacchetto Advertising, con l'opportunità di visibilità attraverso articoli, banner e contenuti all’interno del circuito editoriale di Red Hot Cyber.
Le aziende interessate a conoscere le formule disponibili, il Media Kit e tutte le opportunità previste dal Program Sponsor 2027 possono richiedere informazioni scrivendo a [email protected].