Zyxel GS1900 Anahtarlarındaki Yama, Sıfır Gün Açığını Kapatmada Başarısız Oldu

Zyxel GS1900 Anahtarlarındaki Yama, Sıfır Gün Açığını Kapatmada Başarısız Oldu

Zyxel GS1900 ağ anahtarları için daha önce yayınlanan bir güvenlik yaması, aktif olarak istismar edilen bir güvenlik açığını tam olarak kapatmada yetersiz kaldı. Binarly araştırmacılarının bulgularına göre, tedarikçinin önceki düzeltmesini alan anahtarlar, saldırganların kullandığı istismara karşı hala savunmasız durumda.

Bu istismar, anahtarın web yönetim arayüzüne erişebilen herhangi bir kişinin, oturum açmaya gerek kalmadan anahtar üzerinde komut çalıştırmasına olanak tanıyor. Zyxel, bu açığı kapatmak için 10 farklı GS1900 modeli için yeni bir ürün yazılımı yayınladı.

Daha önceki düzeltme, 16 Haziran tarihli bir güvenlik bildirisinde CVE-2026-7273 olarak takip edilen bir güvenlik açığı için yayınlanan 2.90 Patch 2 ürün yazılımıydı. Yeni 2.90 Patch 3 ürün yazılımı ise, istismarın dayandığı ve şimdi ayrı olarak CVE-2026-107441 olarak takip edilen bir açığı düzeltiyor. Bu yeni ürün yazılımı 23 Ekim’de yayınlandı ve tedarikçi bu hafta başında bir bildiriyle duyurdu.

Güvenlik açığını 29 Eylül’de tedarikçiye bildiren araştırmacılar, bunu bir sıfır gün açığı olarak nitelendiriyor. Saldırganlar o zamana kadar bu açık için çalışan bir istismara zaten sahipti.

Saldırı trafiğini sensör ağı aracılığıyla izleyen GreyNoise, 21 Eylül’de saldırganların yaklaşık 17 Ağustos’ta 996 GS1900 anahtarından veri çaldığını bildirdi. Bu saldırıları CVE-2026-7273 ile ilişkilendirdi ve araştırmacılar, GreyNoise’un tanımladığı istismarın kendi buldukları istismarla eşleştiğini belirtiyor.

Ne GreyNoise ne de Binarly, saldırıya uğrayan anahtarların önceki düzeltmeyi çalıştırıp çalıştırmadığını belirtmiyor ve tedarikçinin bildirisinde yeni açığın istismar edilip edilmediği hakkında bilgi verilmiyor.

Hangi Anahtarların Yeni Ürün Yazılımına İhtiyacı Var?

Zyxel’in güvenlik bildirisi, her model için etkilenen ve düzeltilen ürün yazılımlarını listeliyor:

Patch 2 veya daha önceki herhangi bir ürün yazılımına sahip anahtarlar, modelleri için Patch 3 sürümüne ihtiyaç duymaktadır. Bu sürümler, ürün yazılımı sürüm notlarıyla birlikte yayınlanmıştır.

Bildiride, henüz güncelleme yapamayan kullanıcılar için herhangi bir geçici çözüm listelenmiyor. Ayrıca, güncellemenin bir saldırganın zaten sahip olabileceği erişimi kaldırıp kaldırmadığı veya bir anahtarın tehlikeye girmiş olabileceği durumlarda kullanıcıların neleri kontrol etmesi gerektiği de belirtilmiyor.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 21 Eylül’de CVE-2026-7273’ü Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi ve federal kurumlara tedarikçinin düzeltmesini, yani Patch 2 ürün yazılımını uygulamaları için 24 Eylül’e kadar süre verdi. Bu liste, önceki saldırıların kamuoyuna duyurulduğu gün yayınlandı.

Araştırmacıların güvenlik açığı bildirisi, yeni açığın bu 10 Patch 2 sürümünün hepsinde bulunduğunu belirtiyor. Ayrıca, “bir saldırganın yalnızca yönetim hizmetine ağ erişimine ihtiyacı olduğunu” ifade ederken, tedarikçinin bildirisi “LAN tabanlı, kimlik doğrulaması yapılmamış bir saldırganı” tanımlıyor.

Araştırmacılar, açığı CVSS ciddiyet ölçeğinde 10 üzerinden 9.8 olarak derecelendirirken, tedarikçinin CVE girişinde bu değer 8.8 olarak belirtiliyor ve saldırganın komutlarının root ayrıcalıklarıyla çalıştığını ifade ediyorlar.

Önceki Düzeltme İstismarı Neden Durduramadı?

Binarly’nin teknik analizi, açığı anahtar üzerindeki web isteklerini işleyen programa kadar takip ediyor. Bu, bir bellek dışı yazma (out-of-bounds write) hatasıdır; yani program, kendisine ayrılan belleğin dışına veri yazıyor.

Program, her istek parametresini 140 parametreyi barındırabilen sabit bir alanda saklar. Parametrenin boyutunu hiçbir zaman kontrol etmedi ve Patch 2’den önce kaç parametre sakladığını da kontrol etmedi.

İstismar, çok büyük olan 140. bir parametre göndererek bu alanın sonunu aşmasına ve programın parametre sayacını üzerine yazmasına neden oluyor. Bir sonraki parametre daha sonra alanın dışına yazılır ve saldırganın programın çağırmak üzere olduğu işlevi, saldırganın komutunu çalıştıran bir işlevle değiştirmesine olanak tanır.

Patch 2, sayaca bir kontrol ekledi, ancak bu kontrol yalnızca aşırı büyük parametre kopyalandıktan sonra çalışıyor. O zamana kadar sayaç saldırganın değerini tuttuğu için kontrol yazmayı durdurmuyor. Araştırmacılar, istismarın Patch 2’ye karşı değişiklik yapmadan çalıştığını belirtiyor.

Emüle edilmiş ürün yazılımı ve gerçek donanım üzerinde test ettiler, ancak hangi model olduğunu belirtmiyorlar. İstismarın desteklenen ürün yazılımları listesi, GS1900-24 için Patch 2 sürümünü içeriyor.

Araştırmacılara göre, Zyxel onlara CVE-2026-7273’ün eksik sayaç kontrolüyle ilgili olduğunu ve eksik boyut kontrolünü ayrı bir açık olarak, şimdi CVE-2026-107441 olarak ele aldığını söyledi.

Patch 3 kodunda, bir parametre kopyalanmadan önce sayaç kontrol ediliyor ve kopyalama boyutu sınırlandırılıyor. Araştırmacılar bunun açığı düzelttiğini belirtiyor.

Saldırılar Hakkında Bilinenler

GreyNoise’un saldırı raporu, saldırganların istismarı kullanarak anahtarlara bir veri toplama betiği indirdiğini ve toplanan verilerin alınmak üzere bırakıldığını belirtiyor. Toplanan veriler arasında anahtar yapılandırmaları, hashlenmiş root kimlik bilgileri ve ağ bilgileri bulunuyordu. 996 anahtarın 564’ü hala fabrika varsayılan kimlik bilgilerini kullanıyordu.

Rapor, anahtarların hangi ürün yazılımını çalıştırdığını veya saldırganların bunlara nasıl ulaştığını belirtmiyor. Saldırganların, Acronis’in Red Heron olarak takip ettiği ve Çince konuşan bir grupla aynı veya ilişkili olduğunu belirtiyor. Acronis, Gitea sunucularını hedef alan daha önceki bir kampanyada JITTERLY adlı bir arka kapıyı Red Heron ile ilişkilendirmişti.

Araştırmacılar, istismarı 17 Eylül’de JITTERLY için bir komuta sunucusu olarak da işlev gören bir sunucudaki açık bir klasörde buldular.

Bildirileri iki açıklama sunuyor. Ya Patch 2 güncellemesi CVE-2026-7273 için hatalı bir düzeltmeydi ya da saldırılar CISA’nın listelediği açıktan farklı bir açığı istismar etti.

Araştırmacılar, yakında istismarın daha küçük bir sürümünü bir kavram kanıtı olarak yayınlayacaklarını belirtiyor. CISA’nın dün en son güncellenen KEV katalog verileri, CVE-2026-107441’i listelemiyor.