Phân tích lỗ hổng nghiêm trọng CVE-2026-107441 trên thiết bị chuyển mạch Zyxel GS1900

• Phát hiện lỗ hổng mới: Lỗ hổng zero-day CVE-2026-107441 ảnh hưởng đến dòng switch Zyxel GS1900, cho phép thực thi mã từ xa (RCE) với đặc quyền root mà không cần xác thực.
• Thất bại trong bản vá: Các bản cập nhật firmware trước đó nhằm khắc phục CVE-2026-7273 không giải quyết được triệt để vấn đề, dẫn đến việc kẻ tấn công tiếp tục khai thác lỗ hổng logic bộ nhớ.
• Chiến dịch tấn công: Dữ liệu từ GreyNoise cho thấy gần 1.000 thiết bị đã bị xâm nhập, với các tác nhân sử dụng backdoor JITTERLY và rootkit SIXZUT để đánh cắp thông tin cấu hình.
• Khuyến nghị khẩn cấp: Quản trị viên cần cập nhật firmware mới nhất từ ngày 22/10/2026, vô hiệu hóa quản trị web từ xa và thay đổi toàn bộ mật khẩu mặc định.

Các nhà nghiên cứu bảo mật tại Binarly vừa công bố phát hiện về một lỗ hổng bảo mật nghiêm trọng trên các thiết bị chuyển mạch (switch) dòng Zyxel GS1900. Mặc dù trước đó nhà sản xuất đã phát hành bản vá cho CVE-2026-7273 vào ngày 16/06/2026, các thử nghiệm thực tế cho thấy lỗ hổng vẫn tồn tại trong cả mười phiên bản firmware được cho là đã khắc phục. Lỗ hổng mới này, được định danh là CVE-2026-107441, hiện đang bị khai thác tích cực trong thực tế.

Cơ chế kỹ thuật của lỗ hổng CVE-2026-107441

Lỗ hổng nằm trong chương trình web dispatcher.cgi, cùng với các tệp tin httprestorecfg.cgi và httpupload.cgi. Với điểm số CVSS 9.8 (Critical), lỗ hổng này cho phép kẻ tấn công thực thi các lệnh hệ thống với quyền root mà không cần thông qua bước xác thực người dùng. Vấn đề cốt lõi nằm ở cách quản lý bộ nhớ của thiết bị.

Cụ thể, trang quản trị web của switch lưu trữ các tham số yêu cầu trong một khối bộ nhớ cố định gồm 140 khe (slots), mỗi khe có kích thước 1.024 byte. Mã nguồn thực hiện sao chép dữ liệu trước khi kiểm tra số lượng (count check). Khi một giá trị lớn được đưa vào khe thứ 139, nó sẽ gây ra hiện tượng tràn bộ nhớ, ghi đè lên chính biến đếm (counter). Kẻ tấn công có thể lợi dụng điều này để đặt biến đếm thành số âm, từ đó ghi đè lên các con trỏ hàm (function pointers) và thực thi mã độc tùy ý.

Bảng tổng hợp các thực thể kỹ thuật liên quan

Phân tích chiến dịch tấn công và IOCs

Theo báo cáo từ GreyNoise, một tác nhân đe dọa đã nhắm mục tiêu vào 996 thiết bị GS1900 tại 48 quốc gia tính đến tháng 8/2026. Kẻ tấn công đã đánh cắp cấu hình thiết bị, mật khẩu root dạng hash và thông tin mạng. Đáng chú ý, 564 thiết bị trong số đó vẫn đang sử dụng thông tin đăng nhập mặc định của nhà sản xuất. Chiến dịch này được liên kết với chiến dịch Gitea mà Acronis gọi là Red Heron.

Kẻ tấn công sử dụng một script Python được làm rối bằng PyArmor để tải xuống các công cụ thu thập dữ liệu qua giao thức TFTP. Các mẫu mã độc được phát hiện bao gồm:

• JITTERLY (Backdoor): 0f6e757e82c4d91df5bd249f775b9970b59dee42cc0dfe40f879d77fc16821c6
• SIXZUT (Rootkit): 295133156b6a7d95b9c92f832f49e35235f1fbd3906e75c9202ef4cd65d1018c

⚠️ Cảnh báo quan trọng: Do kẻ tấn công đã đánh cắp được thông tin xác thực root, tất cả các thiết bị từng bị phơi nhiễm trên internet cần được coi là đã bị xâm nhập hoàn toàn. Quản trị viên bắt buộc phải thực hiện thay đổi mật khẩu và kiểm tra các cấu hình bất thường.

Hướng dẫn phòng thủ và giảm thiểu rủi ro

Để bảo vệ hệ thống trước các cuộc tấn công khai thác CVE-2026-107441, các tổ chức cần tuân thủ nghiêm ngặt các bước sau:

• Cập nhật Firmware: Nâng cấp ngay lập tức lên phiên bản firmware được phát hành vào ngày 22/10/2026 hoặc mới hơn từ trang chủ của Zyxel.
• Hardening mạng: Loại bỏ quyền truy cập vào trang quản trị web từ internet công cộng. Chỉ cho phép truy cập từ các dải IP quản trị nội bộ đáng tin cậy.
• Thay đổi thông tin xác thực: Thay đổi toàn bộ mật khẩu mặc định của thiết bị. Sử dụng mật khẩu phức tạp và duy nhất cho từng thiết bị.
• Giám sát hệ thống: Kiểm tra nhật ký (logs) để phát hiện các yêu cầu web bất thường hoặc các thay đổi cấu hình trái phép. Tham khảo thêm thông tin tại CISA Known Exploited Vulnerabilities Catalog để cập nhật các mối đe dọa mới nhất.