Knapp 1.000 Netzwerk-Switches der Reihe Zyxel GS1900 sind seit August 2026 von Angreifern übernommen worden. Und auch wer im Juni ordnungsgemäß das damalige Sicherheitsupdate eingespielt hatte, blieb angreifbar: Der verwendete Angriff funktioniert über eine zweite, bis dahin unbekannte Lücke in derselben Softwarekomponente. Zyxel hat sie als CVE-2026-107441 veröffentlicht und am 3. November 2026 einen Sicherheitshinweis herausgegeben. Geschützt ist nur die Firmware-Version 2.90 Patch 3.
Steckbrief der Lücke
| Merkmal | Angabe |
|---|---|
| Kennung | CVE-2026-107441 (Vorgänger: CVE-2026-7273, Juni 2026) |
| Art | Schreibzugriff außerhalb der Puffergrenzen (Out-of-bounds Write) im CGI-Programm der Weboberfläche |
| Folge | Ausführung von Betriebssystembefehlen ohne Anmeldung über eine präparierte HTTP-Anfrage möglich |
| Bewertung | CVSS 8.8 (Hoch); Angriffsvektor „benachbartes Netz“, laut Zyxel aus dem lokalen Netz – ist die Weboberfläche aus dem Internet erreichbar, ist ein Angriff auch von dort möglich |
| Korrektur für | GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48, -48HPv2; ältere Modelle ohne Support erhalten kein Update |
| Betroffene Firmware | 2.90(…2)C0 und älter – einschließlich des Juni-Updates für CVE-2026-7273 |
| Behoben | 2.90(…3)C0, „V2.90 Patch 3“, je Modell eigene Datei |
| Andere Zyxel-Produkte | Laut Zyxel sind andere derzeit erhältliche Produkte nicht betroffen |
Was die Angreifer getan haben
Das Sicherheitsunternehmen GreyNoise datiert die Übernahmen auf etwa den 17. August 2026. Betroffen sind 996 Switches in 48 Ländern, die meisten in Italien, den USA, Taiwan, Frankreich und Südkorea; in Deutschland zählt GreyNoise 18 Geräte. Die Angreifer kopierten Konfigurationen, gehashte Root-Zugangsdaten und Informationen über das Netzwerk – also genau das, was für den nächsten Schritt in ein Unternehmensnetz gebraucht wird. 564 der übernommenen Geräte liefen noch mit dem Standardpasswort ab Werk.
GreyNoise ordnet die Angriffe einem mutmaßlich chinesischsprachigen Akteur zu, den es „Kapibala“ nennt. Das Unternehmen Binarly fand den verwendeten Angriffscode und stellte fest, dass alle zehn Firmware-Stände mit dem Juni-Update weiterhin für diesen Angriff anfällig waren. Zyxel bestätigte die neue Lücke am 11. Oktober und lieferte die korrigierte Firmware am 22. Oktober aus. Im eigenen Sicherheitshinweis erwähnt Zyxel die Ausnutzung nicht; dass es sich um eine bereits ausgenutzte Lücke handelt, ist der Befund von Binarly.
- 16. Juni 2026Zyxel veröffentlicht den Hinweis zu CVE-2026-7273; die Firmware 2.90(…2)C0 war kurz zuvor erschienen.
- ab ca. 17. AugustBeginn der Übernahmen laut GreyNoise.
- 21. SeptemberGreyNoise veröffentlicht seine Auswertung; CISA nimmt CVE-2026-7273 in den Katalog ausgenutzter Lücken auf.
- 28. SeptemberBinarly stellt fest, dass der Angriff auch auf der aktualisierten Firmware funktioniert, und meldet es am Folgetag an Zyxel.
- 22. OktoberZyxel liefert Firmware 2.90 Patch 3 aus.
- 3. NovemberZyxel-Sicherheitshinweis zu CVE-2026-107441 und Veröffentlichung von Binarly.
Zyxel-Switch absichern: so gehen Sie vor
- Bestand ermitteln. Alle Switches der Reihe GS1900 mit Modell und vollständigem Firmware-Stand erfassen. Sicher ist nur der Stand 2.90(…3)C0. Jeder andere Stand ist betroffen – auch ältere Versionen wie 2.60 oder 2.70, selbst wenn sie auf „.3)C0“ oder höher enden. Für Modelle ohne Patch 3 den Austausch planen.
- Firmware 2.90 Patch 3 einspielen. Die passende Datei für das jeweilige Modell aus dem Zyxel-Downloadbereich laden, vorher die Konfiguration sichern, dann aktualisieren und neu starten. Die Firmware ist modellgebunden – die Datei eines anderen Modells passt nicht.
- Verwaltung abschotten. Die Weboberfläche nur aus einem eigenen Verwaltungsnetz erreichbar machen, nicht aus dem Gäste-WLAN, nicht aus dem allgemeinen Büronetz und keinesfalls aus dem Internet.
- Zugangsdaten ändern. Das Standardpasswort ersetzen und alle Passwörter ändern, die auf dem Switch hinterlegt waren – auch solche für RADIUS, SNMP oder Sicherungsziele. Die Angreifer haben Hashes dieser Zugangsdaten kopiert.
- Auf Spuren prüfen. Die laufende Konfiguration mit einer älteren Sicherung vergleichen: unbekannte Konten, geänderte VLANs, Spiegelports oder Weiterleitungen? Binarly und GreyNoise haben Merkmale der Angriffe veröffentlicht. Im Zweifel das Gerät zurücksetzen und sauber neu konfigurieren – ein Update allein entfernt keine Hintertür.
Was ist das Standardpasswort für den Zyxel-Switch – und warum es weg muss
Viele Switches kommen mit einem dokumentierten Standardzugang ab Werk und werden danach nie wieder angefasst. Mehr als die Hälfte der übernommenen GS1900-Geräte lief genau so. Ein Standardpasswort ist kein Passwort, sondern eine öffentlich bekannte Information. Es gehört bei der Inbetriebnahme ersetzt und in einer Passwortverwaltung abgelegt, zu der nur die Administration Zugang hat.
Lehre für den Betrieb: Switches sind keine Geräte zum Vergessen
Switches laufen jahrelang unauffällig im Verteilerschrank. Genau deshalb fehlen sie oft in der Planung für Updates, und ihre Verwaltungsoberfläche ist häufig aus jedem Netzsegment erreichbar. Der Fall zeigt außerdem, dass ein eingespieltes Update nicht in jedem Fall schützt: Wer im Juni alles richtig gemacht hatte, war trotzdem angreifbar. Belastbar ist deshalb nur die Kombination aus aktuellem Stand, abgeschotteter Verwaltung und regelmäßigem Abgleich der Konfiguration.
In unserer Betreuung führen wir Switches mit Firmware-Stand im Bestand, legen ihre Verwaltung in ein eigenes Netz und spielen Firmware-Updates nach Herstellerhinweisen ein. Konfigurationen sichern wir, damit sich Änderungen nachvollziehen lassen.
Häufige Fragen
Welche Zyxel-Switches sind betroffen?
Zehn Modelle der Reihe GS1900: GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48 und -48HPv2 mit Firmware 2.90(…2)C0 oder älter. Ältere GS1900-Modelle ohne Support erhalten kein Update. Andere derzeit erhältliche Zyxel-Produkte sind laut Hersteller nicht betroffen.
Reicht das Update vom Juni 2026?
Nein. Der Angriff funktioniert auch auf Firmware mit dem Juni-Update für CVE-2026-7273. Erst Firmware 2.90 Patch 3, also der vollständige Stand 2.90(…3)C0, schließt CVE-2026-107441.
Was haben die Angreifer gestohlen?
Laut GreyNoise Konfigurationen, gehashte Root-Zugangsdaten und Informationen über das Netzwerk. Deshalb sollten nach dem Update alle auf dem Switch hinterlegten Passwörter geändert werden.
Muss der Switch aus dem Internet erreichbar sein, damit der Angriff klappt?
Nein. Zyxel beschreibt die Lücke als aus dem lokalen Netz ausnutzbar; ist die Weboberfläche aus dem Internet erreichbar, ist ein Angriff auch von dort möglich. Wie die Angreifer die 996 Geräte erreicht haben, hat GreyNoise nicht veröffentlicht. Die Verwaltungsoberfläche gehört in jedem Fall in ein eigenes Verwaltungsnetz.
Was ist das Standardpasswort für den Zyxel-Switch?
Zyxel-Switches haben ab Werk einen dokumentierten Standardzugang. Er ist öffentlich bekannt und muss bei der Inbetriebnahme ersetzt werden. 564 der übernommenen Geräte liefen noch damit.
Entfernt das Firmware-Update einen bereits erfolgten Einbruch?
Nein. Das Update schließt die Lücke, entfernt aber keine Änderungen, die ein Angreifer vorgenommen hat. Bei Verdacht die Konfiguration mit einer Sicherung vergleichen oder das Gerät zurücksetzen und neu einrichten.
Verwandte Themen: Wer hier weiterdenkt, liest bei Linux-Server, Firmware-Update und Switch auswählen weiter.
Im Text erwähnt
Quellen
- Zyxel security advisory for out-of-bounds write vulnerability in GS1900 series switches · Zyxel
- CVE-2026-107441 · CVE Program
- Zyxel GS1900 RCE (CVE-2026-107441) · Binarly
- Open season on Kapibala · GreyNoise
- Switch GS1900 Series V2.90 Patch 3 Firmware Release · Zyxel Community
- Jetzt patchen! Attacken auf Zyxel-Switches beobachtet · heise online
