OWN NEWS GATHER
← 戻る
The Hacker News

Zyxel製スイッチ「GS1900シリーズ」の深刻な脆弱性が悪用被害に、米CISAがカタログ追加で注意喚起

要点

  • 米CISAは、Zyxelのネットワークスイッチ「GS1900シリーズ」に存在する脆弱性（CVE-2026-7273）が悪用されているとして、KEVカタログに追加した。

  • 当該脆弱性はファームウェアのCGIプログラムに起因するもので、未認証の攻撃者がリモートから任意のOSコマンドを実行できる恐れがある。

  • セキュリティ企業GreyNoiseによると、中国語話者とみられる攻撃者が2026年8月から48カ国・996台の機器へ侵入し、認証情報などを窃取したとされる。

  • 攻撃には難読化ツール「PyArmor」で隠蔽されたPythonスクリプトが使われ、TFTPを通じて収集ツールを実行させていた。

  • セキュリティ企業Acronisが「Red Heron」と呼称する攻撃クラスタとの関連が指摘されており、Zyxelは対策済みファームウェアへの更新を案内している。

  • 米サイバーセキュリティ・社会インフラ安全保障庁（CISA）は現地時間2026年9月21日、台湾Zyxel（ザイセル）社のネットワークスイッチ「GS1900シリーズ」に存在する脆弱性「CVE-2026-7273」について、実際のサイバー攻撃で悪用されている証拠が確認されたとして、同機関の「悪用が確認された脆弱性（KEV）カタログ」に追加した。

  • 本脆弱性は、共通脆弱性評価システム（CVSS）のスコアで8.8と評価されている深刻な不具合である。すでに世界各地の機器が侵害され、機器の設定情報や管理者権限の認証情報が外部へ流出している実態がセキュリティ研究機関によって報告されている。

CGIプログラムのバッファオーバーフローによりOSコマンドが実行可能に

今回CISAのカタログに追加されたCVE-2026-7273は、GS1900シリーズのファームウェア内に含まれるCGIプログラム（Webサーバー上で外部プログラムを実行する仕組み）に存在する、スタックベースのバッファオーバーフローの脆弱性だ。バッファオーバーフローとは、あらかじめ確保されたメモリ領域を超えてデータが書き込まれることで、意図しないコード実行や動作異常を引き起こす不具合を指す。

Zyxelが2026年6月に公開したセキュリティアドバイザリによると、同一LAN（ローカルエリアネットワーク）上にいる認証されていない攻撃者が、細工した不正なHTTPリクエストを送信することで本脆弱性を悪用できる状態にあった。これにより、攻撃者は機器上で任意のオペレーティングシステム（OS）コマンドを実行できる可能性があると説明されている。

48カ国・996台のスイッチからデータ流出、8月中旬から攻撃が本格化

セキュリティ分析を手がけるGreyNoiseの報告によると、中国語話者と疑われる悪意あるサイバー攻撃者が、2026年8月17日以降にこの脆弱性を兵器化（攻撃用ツールとして実戦投入）していたことが判明している。

同社の観測では、イタリア、米国、台湾、フランス、韓国など世界48カ国に及ぶ996台のZyxel製スイッチが実際に侵害され、データの不正送出（エクスフィルトレーション）が行われたという。

攻撃者は脆弱性を突いて侵入した後、TFTP（認証を必要とせず簡易にファイルを転送できるプロトコル）ツールを実行させ、あらかじめ用意した独自のデータ収集スクリプトをダウンロードして実行していた。これにより、機器の設定情報やハッシュ化されたroot権限の認証情報、ネットワーク関連の詳細な情報などが攻撃者側へ送信されたと報告されている。

商用ツール「PyArmor」で高度に隠蔽されたエクスプロイト

GreyNoiseの解析によると、攻撃に用いられたエクスプロイトコード（脆弱性を悪用するプログラム）はPythonスクリプトで記述されており、商用のコード難読化ツール「PyArmor」によって高度に難読化されていた。

このスクリプトは、GS1900-24のファームウェアバージョン2.10から2.90を明示的な標的としていた。しかし、スクリプト内にはlibcのベースアドレスやグローバルオフセットを指定するコマンドラインオプションが備わっており、脆弱性の対象となる他のファームウェアや機種に対しても攻撃対象を広げられる構造になっていたという。

GiteaやLinuxなどを狙う攻撃グループ「Red Heron」との関連性

この攻撃を実行している脅威アクターは、セキュリティ企業Acronisが前週に報告した攻撃クラスタと同一、あるいは活動が重複していると指摘されている。Acronisはこの脅威アクターの活動を「Red Heron」という名称で追跡しており、直近ではオープンソースのGitサービス「Gitea」に存在するリモートコード実行の脆弱性（CVE-2026-60004）を突いてインターネット公開サーバーへ侵入していた。

さらに調査によると、この攻撃者はZyxelやGiteaの脆弱性に加えて、以下のような多様な製品やソフトウェアの脆弱性も標的にしていることが確認されている。

  • UniFi OS: CVE-2026-34908、CVE-2026-34909、CVE-2026-34910
  • Flowise: CVE-2026-56271
  • WordPress: CVE-2026-63030、CVE-2026-60137
  • Linuxカーネル: CVE-2022-0847
  • Nuclio: CVE-2026-79756
  • SENAITE LIMS: CVE-2026-54569
  • Proxmox VE: CVE-2023-54391
  • Palo Alto Networks: PAN-OS GlobalProtectポータルにおける不特定の脆弱性

パッチ提供状況と影響を受けるモデル一覧

Zyxelは本脆弱性の発見と報告について、中国科学院ソフトウェア研究所（ISCAS）の研究者であるLei Gu氏、Jun Cao氏、Zhiqing Rui氏、Jingzheng Wu氏、Tianyue Luo氏に謝意を表明している。なお、記事執筆時点においてZyxel社側のアドバイザリでは、本脆弱性が実際に悪用されていることについての更新は行われていない。

Zyxelが公開している修正済みファームウェアのバージョンと対象製品は以下の通りである。

  • GS1900-8: バージョン 2.90(AAHH.1)C0 以前（修正版: 2.90(AAHH.2)C0）
  • GS1900-8HP: バージョン 2.90(AAHI.1)C0 以前（修正版: 2.90(AAHI.2)C0）
  • GS1900-10HP: バージョン 2.90(AAZI.1)C0 以前（修正版: 2.90(AAZI.2)C0）
  • GS1900-16: バージョン 2.90(AAHJ.1)C0 以前（修正版: 2.90(AAHJ.2)C0）
  • GS1900-24: バージョン 2.90(AAHL.1)C0 以前（修正版: 2.90(AAHL.2)C0）
  • GS1900-24E: バージョン 2.90(AAHK.1)C0 以前（修正版: 2.90(AAHK.2)C0）
  • GS1900-24EP: バージョン 2.90(ABTO.1)C0 以前（修正版: 2.90(ABTO.2)C0）
  • GS1900-24HPv2: バージョン 2.90(ABTP.1)C0 以前（修正版: 2.90(ABTP.2)C0）
  • GS1900-48: バージョン 2.90(AAHN.1)C0 以前（修正版: 2.90(AAHN.2)C0）
  • GS1900-48HPv2: バージョン 2.90(ABTQ.1)C0 以前（修正版: 2.90(ABTQ.2)C0）

悪用が確認されたことを受け、米国の連邦文民行政府（FCEB）機関に対しては、指定された期日までに修正パッチを適用することが義務付けられている。

元URL