Zyxel vá lỗ hổng zero-day đã bị khai thác để chiếm gần 1.000 switch GS1900

Zyxel vừa phát hành bản vá cho lỗ hổng zero-day CVE-2026-107441 trên dòng switch quản lý GS1900, sau khi lỗ hổng này bị khai thác để chiếm quyền 996 thiết bị tại 48 quốc gia. Theo BleepingComputer, lỗi cho phép kẻ tấn công không cần đăng nhập, chỉ cần truy cập được giao diện quản trị web của switch, gửi yêu cầu HTTP được chế tác đặc biệt để chạy lệnh hệ điều hành trên thiết bị. Zyxel phát hành firmware mới ngày 22/10/2026 và công bố khuyến cáo bảo mật ngày 03/11/2026.

Bản vá cũ bị vượt qua như thế nào

Câu chuyện bắt đầu từ tháng 6/2026, khi Zyxel vá CVE-2026-7273, một lỗi tràn bộ đệm trước xác thực trên chính dòng GS1900. Từ khoảng ngày 17/8, hãng giám sát GreyNoise ghi nhận một chiến dịch khai thác do nhóm nghi nói tiếng Trung mà họ đặt tên là Kapibala thực hiện, và ban đầu cho rằng nhóm này đang lợi dụng CVE-2026-7273. Ngày 21/9, CISA (Mỹ) đưa CVE-2026-7273 vào danh mục lỗ hổng đã bị khai thác thực tế.

Tuy nhiên, khi điều tra hạ tầng của chiến dịch Red Heron gắn với backdoor JITTERLY và rootkit SIXZUT, nhóm nghiên cứu Binarly tìm thấy một kho lưu trữ bị lộ chứa mã khai thác Python đã làm rối dành cho switch GS1900. Mã này kiểm tra xem thiết bị có đang chạy firmware đã vá CVE-2026-7273 hay không. Kẻ tấn công vượt qua các bước kiểm tra tràn bộ đệm mới bằng cách làm hỏng bộ đếm tham số trước khi nó được xác thực, từ đó ghi đè bộ nhớ và chạy lệnh mà không cần xác thực. Ngày 28/9, Binarly xác nhận mã khai thác vẫn hoạt động trên cả mười bản firmware đã vá lỗi cũ, rồi báo cho Zyxel ngày 29/9. Zyxel xác nhận lỗ hổng mới ngày 11/10 và cấp mã CVE-2026-107441, vì ngoài kỹ thuật trên, mã khai thác còn lợi dụng việc thiếu kiểm tra độ dài tham số HTTP.

Kẻ tấn công đã làm gì trên switch

Theo số liệu của GreyNoise được BleepingComputer dẫn lại, sau khi chiếm quyền, nhóm tấn công thực thi lệnh từ xa, tải về một đoạn script thu thập cấu hình thiết bị, lấy mã băm mật khẩu root và thu thập thông tin mạng. Đây là những dữ liệu có giá trị để đi sâu hơn vào mạng nội bộ: cấu hình switch tiết lộ sơ đồ VLAN, địa chỉ quản trị và các thiết bị lân cận.

Bản firmware ngày 22/10 giới hạn kích thước tham số và kiểm tra số lượng tham số trước khi chép dữ liệu vào bộ nhớ, qua đó chặn kỹ thuật khai thác này. Khuyến cáo trong bài gốc rất rõ: quản trị viên switch Zyxel GS1900 nên cài bản firmware mới nhất.

Góc nhìn NTEK

Switch truy nhập thường bị coi là thiết bị "cắm là chạy" và ít được cập nhật firmware, trong khi chính nó nằm ở tuyến đầu của mạng doanh nghiệp. Vụ việc này cho thấy hai bài học. Thứ nhất, đã vá một lần chưa chắc đã an toàn: bản vá tháng 6 vẫn bị vượt qua, nên cần theo dõi khuyến cáo của hãng liên tục chứ không chỉ cập nhật một lần. Thứ hai, giao diện quản trị của thiết bị mạng không nên mở ra Internet hay ra mạng người dùng; nên tách riêng vào một VLAN hoặc mạng quản trị, chỉ cho phép truy cập từ máy quản trị được chỉ định.

Với doanh nghiệp và cơ quan tại Việt Nam đang dùng switch Zyxel GS1900, nên rà soát ngay danh sách thiết bị, cập nhật firmware theo khuyến cáo ngày 03/11/2026 của Zyxel, kiểm tra nhật ký truy cập giao diện web và đổi mật khẩu quản trị nếu nghi ngờ thiết bị từng bị truy cập lạ. Về lâu dài, nên đưa thiết bị mạng vào quy trình quản lý lỗ hổng và giám sát tập trung như máy chủ.

Nguồn: BleepingComputer