The Hacker Newsの報道によると、Zyxelのネットワークスイッチ「GS1900」シリーズにおいて、過去の修正パッチ（Firmware 2.90 Patch 2）を適用した状態でも認証なしでroot権限のコマンドを実行できる脆弱性（CVE-2026-107441）が判明しました。攻撃者による悪用コードが事前に確認されており、対象スイッチを利用している組織は最新ファームウェアへの更新が求められます。
The Hacker News：Zyxel GS1900 Patch Fails to Block Zero-Day Exploit Allowing Root Command Execution
スイッチやルーターなどのネットワーク機器が外部や同一セグメントから不正に操作されないか懸念がある場合は、ペネトレーションテストによる到達性や耐性の検証が有効です。
この記事のポイント
影響のあるシステム
- Zyxel GS1900シリーズのネットワークスイッチ（GS1900-24を含む10モデル）
- Firmware 2.90 Patch 2およびそれ以前のファームウェアを実行している機器
- Web管理インターフェースへのネットワーク到達が可能な環境（攻撃者が接続できる状態）
推奨される対策
- 該当するGS1900各モデル向けに公開された「2.90 Patch 3」ファームウェアを適用する
- 機器の初期クレデンシャル（工場出荷時デフォルト設定）を変更し、推測されにくい値へ更新する
- Web管理インターフェースへのアクセスを信頼できる管理用IPアドレスやVLANに制限する【要確認：一次情報に記載なし】
この記事に出てくる専門用語
- GS1900：Zyxelが提供するスマートマネージドスイッチ製品群です。今回の脆弱性では、GS1900-24を含む10モデルが影響対象となっています。
- CVE-2026-7273：2026年6月に公表されたZyxel GS1900の脆弱性識別子です。パラメータカウンタの未検証を修正するためPatch 2が提供されました。
- CVE-2026-107441：Webリクエスト処理における境界外書き込みの欠陥に割り当てられた脆弱性識別子です。Patch 2をすり抜けてroot権限でコマンドが実行される原因となりました。
- KEV（Known Exploited Vulnerabilities）カタログ：米CISAが悪用を確認した脆弱性を登録・管理する一覧です。CVE-2026-7273は2026年9月21日に登録されました。
- Red Heron：中国語話者で構成されるとされる脅威グループです。過去にJITTERLYバックドアを用いて活動し、GS1900スイッチの侵害に関与したと指摘されています。
Zyxel GS1900で認証なしroot実行が発生する経緯
The Hacker Newsによると、セキュリティ調査企業Binarlyの研究者は、Zyxelのネットワークスイッチ「GS1900」シリーズに未認証でroot権限のコマンドが実行できる脆弱性を発見しました。この機器には2026年6月16日のアドバイザリでCVE-2026-7273への修正として「Firmware 2.90 Patch 2」が提供されていましたが、攻撃者が使用する悪用コード（エクスプロイト）を完全に防ぐことはできていませんでした。
その後、調査により判明した新たな不備に対してCVE-2026-107441が割り当てられました。Zyxelは10種類のGS1900モデル（GS1900-24を含む）を対象に、2026年10月23日付で修正ファームウェア「2.90 Patch 3」を公開しています。私たちはパッチ適用の有無だけでなく、修正の中身が攻撃手法と合致しているかを必ず点検します。
Patch 2が攻撃コードの実行を防げなかった仕組み
Binarlyの技術的分析によると、本脆弱性の原因はスイッチ上でWebリクエストを処理するプログラムの境界外書き込み（Out-of-bounds write）にあります。プログラムはリクエストの各パラメータを最大140個まで格納できる固定メモリ領域に保持しますが、各パラメータのデータサイズを検査していませんでした。
攻撃者は140番目のパラメータとして過大なデータを送信し、領域終端を超えてパラメータカウンタを上書きします。Patch 2ではカウンタ値の検査が追加されましたが、この検査はサイズ超過のパラメータがコピーされた後に実行される設計でした。そのため、検査が行われる時点でカウンタは攻撃者が指定した値に書き換わっており、続くパラメータが領域外へ書き込まれてプログラムの呼び出し関数が改変されます。
ZyxelはCVE-2026-7273をカウンタ検査の不備とし、パラメータサイズの未検証をCVE-2026-107441として区別しました。Patch 3ではコピー前のカウンタ検証とサイズ制限が導入され、領域外への書き込みが遮断される構造になっています。
観測された攻撃手口と996台のスイッチへの影響
GreyNoiseの報告によると、2026年8月17日頃にGS1900スイッチ996台を標的とした攻撃が検知され、データ収集スクリプトが配置されました。持ち出された情報には、スイッチの設定データ、ハッシュ化されたroot認証情報、ネットワーク情報が含まれています。対象となった996台のうち564台は、工場出荷時の初期クレデンシャルをそのまま運用していました。
侵入に関与した攻撃者について、報道では中国語話者の脅威グループ「Red Heron」またはその関連グループと指摘されています。Binarlyは2026年9月17日、Red Heronのバックドア「JITTERLY」の指令サーバー上に存在していた公開フォルダから、この攻撃コードを発見しました。標的となった機器がPatch 2適用済みだったかは明記されていませんが、管理画面に到達できれば攻撃が成立する環境でした。
GS1900の運用組織が直ちに実施すべき確認と対処
ベンダーのアドバイザリにはファームウェア更新以外の回避策が記載されていません。そのため、GS1900シリーズ（GS1900-24を含む10モデル）を運用している組織は、公開されているリリースノートを確認し、対象モデル用の「2.90 Patch 3」ファームウェアを速やかに適用します。
ファームウェアの更新だけで過去の不正侵入や残存アクセスが排除されるかはアドバイザリに明記されていません。過去に工場出荷時のデフォルト設定で運用していた形跡がないかを点検し、機器の管理パスワードを推測不能な文字列へ変更します。
外部や不要なセグメントからWeb管理画面へ接続できないよう、アクセス元のIPアドレス制限や管理用VLANの分離を設定します【要確認：一次情報に記載なし】。設定変更後は不審な再起動履歴や設定変更の形跡が残っていないかを確認します。
参考文献・記事一覧
社内ネットワーク基盤や管理インターフェースの安全性を網羅的に確かめたいときは、CyberCrewのネットワークペネトレーションテストをご検討ください。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
