Kutusundan yeni çıkarılmış Zyxel GS1900-24 ağ anahtarı (switch) ön paneli ve Zyxel kutusu (temsili fotoğraf; saldırıya uğramış cihaz değildir)

Zyxel, 3 Kasım 2026 tarihinde yayımladığı bültende GS1900 serisi ağ anahtarlarını etkileyen yeni bir açığı duyurdu. Cihaz yazılımındaki CGI programında yer alan sınır dışı yazma hatasından kaynaklanan CVE-2026-107441 kodlu açık, yerel ağdan (LAN) erişebilen ve kimliği doğrulanmamış bir saldırganın özel hazırlanmış HTTP istekleriyle komut çalıştırmasına izin veriyor. CVSS puanı 8.8 olarak belirlenen zafiyet, cihazın bitişik ağından istismar edilebiliyor.

Haziran ayında dağıtılan yazılım güncellemesini yüklemiş olmak donanımları bu yeni tehlikeye karşı korumuyor. Üretici, 10 farklı model için 2.90 Patch 3 yazılımlarını indirmeye sundu.

Haziran yaması neden yetmedi

Zyxel, 16 Haziran 2026 tarihinde aynı ürün serisinde kimlik doğrulama öncesi yığın taşması yaratan CVE-2026-7273 açığını 2.90 Patch 2 ile kapatmıştı. Tehdit istihbaratı kuruluşu GreyNoise, 21 Eylül 2026 tarihli raporunda yaklaşık 17 Ağustos 2026'dan itibaren 48 ülkede 996 GS1900 anahtarın ele geçirildiğini duyurmuştu. GreyNoise saldırıları o dönem CVE-2026-7273'e bağlamış, CISA da bu açığı 21 Eylül'de KEV kataloğuna eklemişti. SGH'nin 23 Eylül 2026'daki haberinde aktardığı GreyNoise raporu, saldırganların cihaz yapılandırmalarını, kök kullanıcı parola özetlerini topladığını ve ele geçirilen cihazların 564 adedinde fabrika varsayılan kimlik bilgilerinin kullanıldığını ortaya koymuştu.

Firmware güvenliği şirketi Binarly, saldırganla bağlantılı bir sunucuda 17 Eylül 2026 tarihinde GS1900 serisini hedef alan hazır bir istismar kodu tespit etti. 28 Eylül'de yapılan testlerde bu kodun, 16 Haziran 2026 tarihli yamayı taşıyan 10 yazılım sürümünün tamamında kimlik doğrulaması olmadan komut çalıştırabildiği belirlendi. 29 Eylül'de Zyxel'e iletilen durum 11 Ekim'de üretici tarafından doğrulandı ve açığa CVE-2026-107441 numarası atandı.

BleepingComputer ve The Hacker News'in aktardığı teknik ayrıntılara göre 16 Haziran 2026 güncellemesi parametre sayısını kontrol eden bir mantık eklemişti; fakat bu kontrol veriler belleğe aktarıldıktan sonra yapılıyordu. Yeni hazırlanan istismar kodu bu sayacı bozarak denetimi atlatmayı başardı. Zyxel'in hazırladığı Patch 3 ise bellek kopyalamasından önce sayacı inceliyor ve veri boyutunu sınırlandırıyor.

Neler hâlâ belirsiz

The Hacker News'e göre ne GreyNoise ne de Binarly, saldırıya uğrayan anahtarların Haziran yamasını çalıştırdığını söylüyor. Zyxel güvenlik bülteninde CVE-2026-107441 açığının doğrudan saldırılarda kullanılıp kullanılmadığı bilgisine yer verilmedi. GreyNoise analizi ise saldırganların ağ cihazlarına başlangıçta hangi kanaldan ulaştığını netleştirmiyor. CVE-2026-107441 henüz CISA KEV kataloğuna girmedi; Kanada Siber Güvenlik Merkezi ise açık kaynak raporlara dayanarak açığın istismar edildiğini not etti.

Hangi modeller etkileniyor

Zyxel'in bültenine göre GS1900 serisinde 10 model etkileniyor; tabloda yer almayan ürünler etkilenmiyor. Cihazların güncellenmesi gereken sürümleri şu şekildedir:

ModelAçık sürümDüzeltilmiş sürüm
GS1900-82.90(AAHH.2)C0 ve öncesi2.90(AAHH.3)C0
GS1900-8HP2.90(AAHI.2)C0 ve öncesi2.90(AAHI.3)C0
GS1900-10HP2.90(AAZI.2)C0 ve öncesi2.90(AAZI.3)C0
GS1900-162.90(AAHJ.2)C0 ve öncesi2.90(AAHJ.3)C0
GS1900-242.90(AAHL.2)C0 ve öncesi2.90(AAHL.3)C0
GS1900-24E2.90(AAHK.2)C0 ve öncesi2.90(AAHK.3)C0
GS1900-24EP2.90(ABTO.2)C0 ve öncesi2.90(ABTO.3)C0
GS1900-24HPv22.90(ABTP.2)C0 ve öncesi2.90(ABTP.3)C0
GS1900-482.90(AAHN.2)C0 ve öncesi2.90(AAHN.3)C0
GS1900-48HPv22.90(ABTQ.2)C0 ve öncesi2.90(ABTQ.3)C0

Türkiye açısından

Türkiye açısından bakıldığında GS1900 serisi, Zyxel'in Türkiye sitesinde de listelenen akıllı yönetimli ağ anahtarları arasında yer alıyor. İncelenen kaynaklarda 48 ülkenin listesi yer almıyor; Türkiye'de etkilenen cihaz bulunup bulunmadığı bilinmiyor.

Ne yapmalı

Kaynaklar

Kapak görseli (temsili): Zyxel GS1900-24 ağ anahtarı — RoTehnic Beius, Flickr, Kamu Malı İşareti 1.0 (kırpıldı, küçültüldü). Saldırıya uğramış bir cihazı göstermez.