Le correctif de juin ne fermait pas la porte
Zyxel a corrigé en juin une faille de ses switchs GS1900, mais les attaquants en exploitaient une autre, restée ouverte : 996 appareils piratés dans 48 pays. Un numéro de version ne prouve jamais qu'une porte est fermée.
Actualité du 5 novembre 2026 · 1 min 29 · 8 sources · 13 affirmations sourcées
En 30 secondes
L'essentiel
- Un correctif publié ne prouve pas que la faille exploitée est fermée : c'est l'exploit qui le dit.
- Les attaquants ciblaient une autre faille que celle corrigée en juin, dans le même programme d'administration.
- Les configurations et les empreintes de mots de passe root volées restent une monnaie d'échange pour pivoter.
Ce qui est établi, et ce qui ne l'est pas
Chaque affirmation de l'épisode, son statut et ses sources.
- Rapporté996 switchs Zyxel GS1900 compromis dans 48 pays, à partir du 17 août 2026
- RapportéConfigurations, informations réseau et empreintes de mots de passe root exfiltrées des switchs
- ÉtabliCVE-2026-107441 : écriture hors limites dans le programme CGI, exploitable sans authentification via une requête HTTP forgée
- ÉtabliDix modèles GS1900 concernés, firmware 2.90(x.2)C0 et antérieurs vulnérables, correctif en 2.90(x.3)C0
- ÉtabliScore CVSS de 8,8, attaque depuis un réseau adjacent, aucun privilège requis
- ÉtabliLe correctif de juin 2026 (CVE-2026-7273) ne fermait pas cette faille : l'exploit fonctionnait encore sur les dix versions corrigées
- ÉtabliExploit Python obfusqué avec PyArmor retrouvé dans un répertoire ouvert du serveur de commande, visant /cgi-bin/dispatcher.cgi
- ÉtabliCISA a ajouté CVE-2026-7273 au catalogue KEV le 21 septembre 2026
- ÉtabliSignalement à Zyxel le 29 septembre, confirmation le 11 octobre, correctif le 22 octobre, avis public le 3 novembre
- ÉtabliCorrectif d'octobre : compteur vérifié avant la copie et champ limité à 511 octets
- InconnuRestent inconnus : le nombre de switchs encore vulnérables, la répartition des victimes entre les deux failles, l'intention de contourner le correctif
- ÉtabliBinarly recommande de juger la vulnérabilité sur le code binaire plutôt que sur les avis et les numéros de version
- RapportéRecommandation : mettre à jour chaque switch et rechercher des preuves de compromission
Transcription
Entre le 17 août et le 21 septembre, 996 switchs Zyxel ont été piratés dans 48 pays. Les attaquants ont volé les configurations et les empreintes des mots de passe root, sans saisir un seul identifiant.
CyberFlash, c'est l'émission cybersécurité de DecodeVox. Ici, on ne s'arrête pas aux gros titres : on décrypte les attaques, on révèle leurs mécanismes et on explique ce qu'elles changent concrètement.
Mais comment un correctif peut-il ne rien corriger ?
Tout passe par la page d'administration, un programme en C nommé dispatcher.cgi. Il accepte une requête POST sans mot de passe et range les paramètres dans un tampon global. La copie déborde, écrase le compteur posé juste à côté, et la mémoire est réécrite : la commande de l'attaquant s'exécute.
Ce qui est établi : l'exploit retrouvé chez l'attaquant marchait encore sur les dix versions corrigées en juin, et 996 switchs ont été compromis dans 48 pays. Ce qu'on ignore : combien restent vulnérables, et si cet exploit a été écrit exprès pour contourner le correctif de juin.
Trois réflexes. Un correctif ne vaut que par ce qu'il ferme : testez l'exploit, pas le numéro de version. L'administration d'un switch reste sur un réseau de gestion, jamais sur Internet. Et quand les empreintes root ont fuité, il faut changer les mots de passe.
Un correctif n'est pas une preuve. La preuve, c'est l'exploit qui ne passe plus.
Pour aller plus loin, retrouvez l'édition complète du jour sur notre plateforme en ligne, le lien en description. Abonnez-vous à DecodeVox pour ne rien manquer de nos prochains décryptages. Et dites-nous en commentaire : avez-vous déjà vérifié qu'un correctif fermait vraiment la faille ?
La suite
Continuer
1 min 40SSHole : n'importe quel mot de passe ouvrait le serveur
1 min 33Plex2Shell : la mise à jour ne nettoie pas le NAS
1 min 31La mise à jour qui ouvre la porte
Ne pas manquer le prochain épisode
Le flux RSS annonce chaque nouvel épisode, sans compte ni inscription.
L'actu cyber complète du jour
Les 10 actualités du jeudi 5 novembre 2026, dont celle-ci, avec leurs sources.