Quando un produttore rilascia una patch e poi si scopre che l'exploit continua a funzionare, il problema non è più solo tecnico: è di fiducia nel processo di aggiornamento. È ciò che è accaduto con gli switch Zyxel della serie GS1900, dove una correzione di giugno si è rivelata incompleta e ha lasciato esposta una seconda falla, ora tracciata come CVE-2026-107441.

Cosa è successo

Il 16 giugno 2026 Zyxel ha corretto la CVE-2026-7273, un buffer overflow pre-autenticazione nell'interfaccia web di gestione degli switch GS1900. Secondo la ricostruzione pubblicata da eSecurity Planet e da BleepingComputer, l'attività di sfruttamento è iniziata intorno al 17 agosto. Il 21 settembre GreyNoise ha reso pubblica la campagna, attribuendola a un attore sospettato di lingua cinese che monitora come Kapibala e collegato alla campagna Red Heron; nello stesso giorno la CISA ha inserito la CVE-2026-7273 nel catalogo delle vulnerabilità sfruttate (KEV).

Il colpo di scena è arrivato il 28 settembre: i ricercatori di Binarly hanno verificato che l'exploit, recuperato da un archivio esposto sull'infrastruttura degli attaccanti, funzionava ancora contro tutte e dieci le versioni di firmware che avrebbero dovuto essere protette dalla patch di giugno. Il 29 settembre hanno segnalato il problema a Zyxel, che l'11 ottobre lo ha confermato assegnando la CVE-2026-107441. Il firmware corretto (Patch 3) è stato rilasciato il 22 ottobre e l'avviso di sicurezza è stato pubblicato il 3 novembre.

Perché la prima patch non bastava

La correzione di giugno aveva introdotto un controllo sul numero di parametri della richiesta HTTP, ma quel controllo veniva eseguito troppo tardi: un parametro sovradimensionato poteva sovrascrivere il contatore prima che fosse validato. In più mancava del tutto la validazione della lunghezza dei parametri, che Zyxel ha trattato come un difetto distinto. La Patch 3 valida il numero di parametri prima di copiare i dati in memoria e limita la dimensione dei singoli parametri.

I dati essenziali

  • Vulnerabilità: CVE-2026-107441, scrittura fuori dai limiti (out-of-bounds write) nell'interfaccia web di gestione.
  • Gravità: CVSS 8,8 secondo Zyxel; Binarly la valuta 9,8.
  • Impatto: un attaccante non autenticato con accesso di rete al dispositivo può eseguire comandi del sistema operativo con una richiesta HTTP costruita ad hoc.
  • Modelli colpiti (10): GS1900-8, GS1900-8HP, GS1900-10HP, GS1900-16, GS1900-24, GS1900-24E, GS1900-24EP, GS1900-24HPv2, GS1900-48 e GS1900-48HPv2.
  • Firmware corretto: Patch 3, riconoscibile da un numero di build che termina con ".3)C0" (per esempio 2.90(AAHH.3)C0 per il GS1900-8). Le build ".2)C0" e precedenti restano vulnerabili.
  • Sfruttamento: GreyNoise parla di 996 switch compromessi in 48 paesi, di cui 564 con le credenziali di fabbrica ancora attive. Gli attaccanti hanno raccolto configurazioni, hash delle credenziali root e informazioni di rete. Al 4 novembre la CVE-2026-107441 non risultava ancora nel catalogo KEV.

Cosa significa per le aziende italiane

Gli switch GS1900 sono apparati economici di fascia "smart managed", molto diffusi in studi professionali, piccole sedi, negozi, scuole e reti di videosorveglianza. È proprio il tipo di dispositivo che in molte PMI viene installato una volta e poi dimenticato: nessun inventario, nessuno scadenzario degli aggiornamenti, spesso nessun monitoraggio. Il dato delle 564 macchine con password di default su 996 compromesse racconta bene il profilo tipico del bersaglio.

Il punto di analisi più importante, però, riguarda il processo e non il prodotto. Questa vicenda mostra due cose. La prima: "ho applicato la patch" non equivale a "sono protetto" quando esiste già un exploit pubblico o in circolazione. Dopo il 21 settembre, chiunque avesse installato il firmware di giugno poteva ritenersi al sicuro, e non lo era. La seconda: un'installazione di firmware nuovo non rimuove un'eventuale compromissione avvenuta prima. Chi aveva lo switch raggiungibile da Internet o da segmenti poco fidati tra agosto e fine ottobre deve ragionare in termini di incidente potenziale, non solo di aggiornamento.

Per un soggetto rientrante nella NIS2 (D.Lgs. 138/2024) la gestione del rischio della catena di approvvigionamento e della sicurezza nell'acquisizione e manutenzione di sistemi di rete è un obbligo, non una buona pratica: dispositivi di rete non inventariati e non aggiornati sono difficili da difendere davanti a un'ispezione. Se dalla verifica emergesse un accesso non autorizzato che coinvolge dati personali, scatta inoltre la valutazione di notifica al Garante entro 72 ore ai sensi dell'art. 33 del GDPR. Per i fabbricanti e gli importatori, infine, vicende come questa sono esattamente quelle che il Cyber Resilience Act intende disciplinare, imponendo gestione delle vulnerabilità e aggiornamenti efficaci lungo il ciclo di vita del prodotto.

Cosa fare subito

  • Censire tutti gli switch Zyxel della serie GS1900 e verificare modello e build del firmware: devono terminare con ".3)C0".
  • Installare la Patch 3 specifica per ciascun modello e ricontrollare la versione dopo il riavvio, senza fidarsi dell'esito dell'aggiornamento.
  • Impedire l'accesso all'interfaccia web di gestione da Internet e da reti non fidate; limitarla a una VLAN di management dedicata.
  • Cambiare le credenziali di fabbrica e ruotare quelle che potrebbero essere state esposte, comprese quelle riutilizzate su altri apparati.
  • Confrontare la configurazione corrente con un backup noto e pulito, cercando account, regole o impostazioni di rete non riconosciuti.
  • Esaminare i log e gli indicatori pubblicati su Kapibala/Red Heron per i dispositivi che sono stati esposti tra agosto e ottobre; in caso di dubbio, ripristinare il dispositivo da firmware pulito.
  • Documentare le verifiche: serve come evidenza per NIS2 e, se del caso, per la valutazione di un data breach.

In sintesi

La CVE-2026-107441 ricorda che la gestione delle patch va verificata, non presunta. Per chi ha switch GS1900 la priorità è chiara: aggiornare alla Patch 3, chiudere la gestione web e controllare che nessuno sia già entrato.