Zyxel GS1900: el parche de junio no detuvo el ataque a los switches; hay que volver a actualizar

Si en septiembre actualizaste tus switches Zyxel GS1900 por la falla que entró al catálogo de explotadas de CISA, tengo una mala noticia: hay que volver a hacerlo. Zyxel publicó el martes 3 de noviembre un aviso nuevo, CVE-2026-107441, y la investigación que lo acompaña dice que el exploit ligado a la campaña que tomó casi mil switches seguía funcionando con el firmware que se suponía que lo corregía.

Qué pasó

A principios de octubre contamos que un atacante había comprometido 996 switches GS1900 en 48 países y que se había llevado configuraciones, hashes de la contraseña de root e información de red. En ese momento la falla atribuida era CVE-2026-7273, un desbordamiento de búfer que Zyxel había parchado el 16 de junio.

Resulta que la historia estaba incompleta. Según la reconstrucción que publicó BleepingComputer el 4 de noviembre:

El exploit, según Binarly, corrompía un contador de parámetros antes de que el firmware lo validara, y así se saltaba la corrección de junio. Zyxel lo trató como una falla aparte porque además faltaba validar el largo de los parámetros HTTP. No está claro si el atacante preparó el rodeo a propósito o si siempre usó una falla hermana que el parche de junio no tocó; para tu red da igual: la versión que instalaste en septiembre no te protege.

Qué dice el aviso de Zyxel

El aviso describe una escritura fuera de límites en el programa CGI del firmware que permite que un atacante en la red local y sin credenciales ejecute comandos del sistema operativo con una petición HTTP preparada. Zyxel no publicó puntuación CVSS en la página del aviso. El crédito es para Yegor Vasilenko y Fernando Mercês, de Binarly.

Estas son las versiones afectadas y las corregidas, tal como vienen en el aviso:

La regla rápida: si la versión termina en .2 o en un número menor, está expuesta; la buena termina en .3. Zyxel aclara que publica parches para los modelos dentro de su periodo de soporte de vulnerabilidades y que los que no aparecen en la tabla no están afectados.

Por qué te importa aunque la falla sea "solo" de red local

El aviso habla de un atacante en la LAN, y es tentador pensar que eso deja fuera a cualquiera que no esté sentado en tu oficina. No es así de simple. En una PyME, la red local suele ser una sola red plana donde conviven las computadoras, la impresora, las cámaras, el wifi de invitados mal separado y cualquier equipo que alguien conectó "nada más para probar". Basta una laptop infectada, un dispositivo IoT comprometido o un acceso remoto mal cerrado para que alguien quede "en la LAN".

Y lo que se lleva no es poco. En la campaña documentada, el atacante ejecutó comandos y bajó un script que recolectaba la configuración del switch, los hashes de las credenciales de root y la información de la red. GreyNoise vincula la actividad a un actor que identifica como Kapibala, dentro de una campaña llamada Red Heron. Con la configuración de un switch en la mano se dibuja el mapa completo: VLANs, direccionamiento y qué cuelga de cada puerto.

Qué hacer esta semana

1. Encuentra tus GS1900. Revisa rack, gabinetes y los switches PoE que alimentan cámaras, teléfonos o puntos de acceso. Si no tienes inventario de red, este es el pretexto para levantarlo; nuestro tutorial para escanear vulnerabilidades en tu red te sirve para encontrar lo que nadie recuerda haber instalado.
2. Compara la versión de firmware con la tabla. Si termina en .2 o menos, descarga la .3 del portal de Zyxel para tu modelo exacto y programa la actualización fuera de horario: el switch se reinicia y todo lo conectado pierde red unos minutos.
3. Cambia la contraseña de administración después de actualizar. Si el equipo estuvo expuesto, asume que el hash de root ya salió; cambia también cualquier contraseña que se repita en otros equipos de red.
4. Saca la interfaz web de las redes de usuarios. La administración del switch debería responder solo desde una VLAN o equipo de gestión, no desde cualquier computadora de la oficina ni desde el wifi.
5. Revisa si alguien cambió algo. Compara la configuración actual contra el último respaldo que tengas: usuarios nuevos, puertos espejo (mirror) o rutas que no reconoces son señales de alarma.

El patrón que se repite

No es la primera vez este otoño que un parche resulta incompleto: a fines de octubre Ivanti tuvo que parchar una tercera falla de la cadena de Ivanti Connect Secure, y los equipos de red siguen siendo blanco preferido, como vimos con MikroTik RouterOS. La lección para una PyME es práctica: actualizar una vez no cierra el tema. Hay que tener a alguien que revise los avisos del fabricante de cada equipo de red, no solo los de Windows. Si tu red además anda lenta o con caídas raras después de estos cambios, el diagnóstico de red lenta en la oficina te ayuda a descartar lo básico.