Perangkat switch jaringan Zyxel seri GS1900 yang sebelumnya menerima perbaikan vendor atas celah keamanan yang aktif dieksploitasi ternyata masih rentan terhadap serangan serupa, demikian temuan peneliti keamanan di Binarly.
Eksploit tersebut memungkinkan siapa saja yang memiliki akses jaringan ke antarmuka manajemen web perangkat switch untuk menjalankan perintah sistem secara langsung tanpa perlu melakukan proses login. Menanggapi kondisi ini, Zyxel telah meluncurkan pembaruan firmware terkini bagi 10 varian model GS1900 guna menutup celah tersebut.
Perbaikan terdahulu yang dirilis vendor adalah firmware versi 2.90 Patch 2, yang tercantum dalam dokumen peringatan keamanan tertanggal 16 Juni untuk menangani kerentanan berkode CVE-2026-7273. Sementara itu, firmware pembaruan versi 2.90 Patch 3 dihadirkan untuk menambal kelemahan baru yang didaftarkan terpisah dengan kode CVE-2026-107441, yang merupakan basis utama dari metode eksploitasi peretas. Firmware anyar ini diterbitkan ke publik pada 23 Oktober, dan vendor secara resmi mengumumkannya dalam dokumen penasihat keamanan pada awal pekan ini.
Para peneliti, yang pertama kali melaporkan temuan celah keamanan ini kepada pihak vendor pada 29 September, melabeli kerentanan tersebut sebagai ancaman zero-day, karena pelaku kejahatan siber dilaporkan telah memiliki senjata eksploit fungsional yang siap digunakan sebelum laporan diberikan.
GreyNoise, perusahaan intelijen siber yang memantau lalu lintas serangan internet melalui jaringan sensor global, melaporkan pada 21 September bahwa sekelompok penyerang mencuri data penting dari 996 unit switch GS1900 di seluruh dunia sekitar 17 Agustus. Lembaga tersebut mengaitkan aksi penyusupan massal itu dengan CVE-2026-7273, dan analis Binarly menyatakan karakteristik eksploit yang diuraikan GreyNoise sepenuhnya identik dengan perkakas eksploitasi yang mereka temukan di lapangan.
Kendati demikian, baik GreyNoise maupun Binarly tidak memberikan penegasan bahwa perangkat switch yang menjadi sasaran serangan saat itu telah memasang patch perbaikan terdahulu, dan lembar penasihat teknis resmi vendor belum mengonfirmasi apakah kelemahan keamanan baru ini telah dieksploitasi secara luas di alam liar.
Daftar Perangkat Switch yang Memerlukan Pembaruan Firmware
Dokumen penasihat keamanan Zyxel memaparkan model perangkat yang terdampak beserta versi firmware perbaikan khusus untuk masing-masing tipe berikut:
Seluruh perangkat switch jaringan yang saat ini masih menjalankan versi firmware Patch 2 maupun edisi build firmware yang lebih lawas diwajibkan untuk segera diperbarui menuju rilis build Patch 3 sesuai dengan varian model perangkat masing-masing. Berkas pembaruan tersebut telah disediakan secara terbuka bersama dengan catatan rilis firmware resmi dari pabrikan.
Peringatan keamanan resmi tersebut tidak mencantumkan solusi alternatif atau mitigasi sementara bagi pemilik perangkat yang belum dapat melakukan pembaruan firmware segera. Dokumen panduan juga tidak menjelaskan secara rinci apakah pembaruan sistem mampu mencabut atau memutus akses pintu belakang yang kemungkinan telah dipasang oleh peretas, ataupun tindakan audit teknis apa yang mesti diambil oleh pengelola jaringan jika perangkat mereka dicurigai telah disusupi sebelumnya.
Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) sebelumnya memasukkan kode kerentanan CVE-2026-7273 ke dalam katalog Kerentanan yang Diketahui Telah Dieksploitasi (KEV) pada 21 September, serta memberikan tenggat waktu bagi seluruh instansi federal AS hingga 24 September guna menerapkan solusi perbaikan resmi Patch 2. Keputusan pencatatan darurat ke dalam katalog KEV tersebut dipublikasikan pada hari yang sama saat insiden gelombang serangan sebelumnya diungkap secara terbuka kepada publik.
Laporan penasihat kerentanan dari peneliti menyebutkan kelemahan keamanan baru ini masih bercokol di dalam seluruh 10 build firmware Patch 2 tersebut. Analis menekankan bahwa "seorang penyerang hanya memerlukan keterjangkauan jaringan ke layanan manajemen web switch", sementara dokumen pemberitahuan vendor menggambarkan ancaman sebagai "penyerang tanpa autentikasi yang berbasis di dalam jaringan lokal (LAN)".
Berdasarkan skala keparahan Common Vulnerability Scoring System (CVSS), peneliti menyematkan skor tingkat keparahan setinggi 9,8 dari nilai maksimal 10 pada celah ini, berbanding penilaian internal Zyxel yang mencatat skor 8,8 pada entri CVE resmi mereka, sembari menegaskan bahwa rentetan perintah yang disuntikkan penyerang akan dieksekusi otomatis menggunakan hak istimewa tingkat root.
Penyebab Kegagalan Perbaikan Terdahulu dalam Menahan Eksploitasi
Hasil analisis teknis Binarly melacak bahwa akar permasalahan keamanan ini bersumber langsung dari program internal switch yang memproses dan mengelola permintaan lalu lintas antarmuka web. Celah ini tergolong kegagalan penulisan di luar batas memori (out-of-bounds write), situasi teknis di mana sebuah program menyuntikkan data melebihi kapasitas alokasi memori yang telah ditetapkan.
Perangkat lunak pengendali bertugas menyimpan setiap parameter permintaan HTTP ke dalam blok memori statis khusus yang sanggup menampung hingga 140 parameter data. Komponen sistem tersebut sebelumnya tidak melakukan verifikasi terhadap ukuran volume masing-masing parameter yang masuk, dan bahkan sebelum peluncuran Patch 2, program sama sekali tidak memverifikasi jumlah akumulasi parameter yang disimpannya.
Mekanisme eksploitasi bekerja dengan mengirimkan data parameter ke-140 dengan ukuran muatan yang kelewat besar, sehingga muatan meluap melampaui batas akhir area alokasi memori serta menimpa variabel penghitung parameter pada program. Dampaknya, parameter data berikutnya dituliskan langsung di luar batasan area yang seharusnya, yang akhirnya memberikan celah bagi pihak penyerang untuk memanipulasi serta mengganti pointer pemanggilan fungsi aplikasi internal dengan instruksi baris perintah buatan peretas sendiri.
Pembaruan Patch 2 sebenarnya telah menyertakan mekanisme pemeriksaan tambahan pada variabel penghitung, namun proses verifikasi tersebut baru dijalankan setelah salinan muatan parameter yang berukuran besar tuntas dipindahkan. Pada titik proses itu, variabel penghitung sudah memuat nilai palsu hasil manipulasi pihak penyerang, sehingga prosedur pemeriksaan keamanan tidak sanggup mencegah terjadinya penulisan data liar di memori. Para peneliti membuktikan bahwa skrip eksploitasi penyerang sanggup membobol sistem pada Patch 2 tanpa modifikasi kode tambahan.
Tim peneliti telah menguji serangan ini pada lingkungan firmware hasil emulasi serta mengujinya langsung pada unit perangkat keras fisik asli, kendati mereka tidak merinci model spesifik mana yang diuji. Meski demikian, data internal pada manifes eksploitasi secara gamblang mencantumkan dukungan penuh terhadap build firmware Patch 2 khusus tipe GS1900-24.
Berdasarkan pernyataan peneliti, manajemen Zyxel menjelaskan kepada mereka bahwa kode CVE-2026-7273 berfokus spesifik pada ketiadaan mekanisme pemeriksaan variabel penghitung, dan vendor mengkategorikan ketiadaan validasi ukuran parameter sebagai celah keamanan terpisah yang kini berstatus CVE-2026-107441.
Pada struktur kode Patch 3 yang dirilis belakangan ini, variabel counter dipastikan diperiksa terlebih dahulu sebelum isi parameter disalin ke memori, dan volume data yang disalin dibatasi ketat. Peneliti memvalidasi langkah ini telah berhasil menambal lubang keamanan tersebut secara tuntas.
Fakta dan Informasi Seputar Serangan Siber yang Terjadi
Berdasarkan laporan investigasi serangan siber dari GreyNoise, aktor ancaman memanfaatkan celah eksploitasi ini untuk mengunduh skrip pengumpul data ke dalam unit switch target, lalu menaruh paket data curian tersebut di tempat penyimpanan lokal agar bisa diunduh kembali nanti. Kumpulan data yang dijarah mencakup salinan konfigurasi switch, berkas hash kredensial kata sandi akun root, hingga peta rincian jaringan internal. Dari total 996 perangkat switch yang menjadi korban pembobolan, sebanyak 564 unit di antaranya terbukti masih membiarkan kredensial login bawaan pabrik aktif tanpa diganti.
Laporan teknis tersebut tidak memerinci edisi firmware mana yang aktif saat perangkat dibobol, maupun metode spesifik pelaku dalam menjangkau antarmuka switch tersebut. Namun laporan mengungkapkan bahwa pelaku identik atau setidaknya berafiliasi erat dengan kelompok kejahatan siber yang diidentifikasi Acronis sebagai Red Heron, kelompok yang dideskripsikan berkomunikasi memakai bahasa Mandarin. Acronis sebelumnya sukses memetakan relasi varian backdoor bernama JITTERLY dengan sindikat Red Heron dalam kampanye serangan terdahulu yang menargetkan server pengembang Gitea.
Para periset menemukan perkakas eksploitasi switch ini pada 17 September di dalam direktori terbuka yang tersimpan pada peladen internet yang juga difungsikan sebagai server kendali perintah bagi malware JITTERLY.
Laporan penasihat teknis periset menyodorkan dua kemungkinan hipotesis: pembaruan Patch 2 merupakan tambalan yang cacat desain untuk CVE-2026-7273, atau operasi peretasan memanfaatkan kelemahan yang berbeda dari yang dicatat CISA.
Peneliti menyatakan segera merilis versi ringkas eksploit ini sebagai bukti konsep (PoC). Di lain sisi, pangkalan data KEV milik CISA per kemarin belum memasukkan CVE-2026-107441 ke daftar resmi.
