[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/zyxel-gs1900-cve-2026-107441-parche-junio-no-bastaba":3,"prev-/blog/noticias/zyxel-gs1900-cve-2026-107441-parche-junio-no-bastaba":496,"next-/blog/noticias/zyxel-gs1900-cve-2026-107441-parche-junio-no-bastaba":499,"related-/blog/noticias/zyxel-gs1900-cve-2026-107441-parche-junio-no-bastaba":502,"author-Diego Herrera":522},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":450,"cta":451,"date":456,"dateModified":456,"description":457,"draft":458,"extension":459,"faq":460,"featured":458,"howto":473,"image":474,"imageAlt":475,"intent":476,"keywords":477,"meta":482,"navigation":483,"path":484,"publishedTime":485,"readingTime":486,"seo":487,"seoTitle":488,"stem":489,"tags":490,"__hash__":495},"blog/blog/noticias/zyxel-gs1900-cve-2026-107441-parche-junio-no-bastaba.md","Zyxel GS1900: el parche de junio no detuvo el ataque a los switches; hay que volver a actualizar","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":440},"minimark",[11,36,41,54,57,135,145,149,160,163,290,297,300,304,315,330,334,373,405,409,431],[12,13,14,15,19,20,23,24,27,28,31,32,35],"p",{},"Si en septiembre actualizaste tus switches ",[16,17,18],"strong",{},"Zyxel GS1900"," por la falla que entró al catálogo de explotadas de CISA, tengo una mala noticia: ",[16,21,22],{},"hay que volver a hacerlo",". Zyxel publicó el ",[16,25,26],{},"martes 3 de noviembre"," un aviso nuevo, ",[16,29,30],{},"CVE-2026-107441",", y la investigación que lo acompaña dice que el exploit ligado a la campaña que tomó casi mil switches ",[16,33,34],{},"seguía funcionando con el firmware que se suponía que lo corregía",".",[37,38,40],"h2",{"id":39},"qué-pasó","Qué pasó",[12,42,43,44,49,50,53],{},"A principios de octubre contamos que un atacante había ",[45,46,48],"a",{"href":47},"/blog/noticias/zyxel-gs1900-cve-2026-7273-switches","comprometido 996 switches GS1900 en 48 países"," y que se había llevado configuraciones, hashes de la contraseña de root e información de red. En ese momento la falla atribuida era ",[16,51,52],{},"CVE-2026-7273",", un desbordamiento de búfer que Zyxel había parchado el 16 de junio.",[12,55,56],{},"Resulta que la historia estaba incompleta. Según la reconstrucción que publicó BleepingComputer el 4 de noviembre:",[58,59,60,72],"table",{},[61,62,63],"thead",{},[64,65,66,70],"tr",{},[67,68,69],"th",{},"Fecha",[67,71,40],{},[73,74,75,84,92,103,111,119,127],"tbody",{},[64,76,77,81],{},[78,79,80],"td",{},"~17 de agosto",[78,82,83],{},"GreyNoise detecta la explotación de switches GS1900",[64,85,86,89],{},[78,87,88],{},"21 de septiembre",[78,90,91],{},"GreyNoise la atribuye a CVE-2026-7273; CISA la agrega al catálogo KEV",[64,93,94,97],{},[78,95,96],{},"28 de septiembre",[78,98,99,100],{},"Binarly encuentra un archivo expuesto con el exploit (Python ofuscado) y confirma que ",[16,101,102],{},"sigue funcionando en el firmware ya parchado",[64,104,105,108],{},[78,106,107],{},"29 de septiembre",[78,109,110],{},"Binarly reporta la falla a Zyxel",[64,112,113,116],{},[78,114,115],{},"11 de octubre",[78,117,118],{},"Zyxel confirma que es una vulnerabilidad distinta",[64,120,121,124],{},[78,122,123],{},"22 de octubre",[78,125,126],{},"Zyxel libera el firmware corregido",[64,128,129,132],{},[78,130,131],{},"3 de noviembre",[78,133,134],{},"Zyxel publica el aviso con CVE-2026-107441",[12,136,137,138,141,142,35],{},"El exploit, según Binarly, corrompía un contador de parámetros ",[16,139,140],{},"antes"," de que el firmware lo validara, y así se saltaba la corrección de junio. Zyxel lo trató como una falla aparte porque además faltaba validar el largo de los parámetros HTTP. No está claro si el atacante preparó el rodeo a propósito o si siempre usó una falla hermana que el parche de junio no tocó; para tu red da igual: ",[16,143,144],{},"la versión que instalaste en septiembre no te protege",[37,146,148],{"id":147},"qué-dice-el-aviso-de-zyxel","Qué dice el aviso de Zyxel",[12,150,151,152,155,156,159],{},"El aviso describe ",[16,153,154],{},"una escritura fuera de límites en el programa CGI"," del firmware que permite que un atacante ",[16,157,158],{},"en la red local y sin credenciales"," ejecute comandos del sistema operativo con una petición HTTP preparada. Zyxel no publicó puntuación CVSS en la página del aviso. El crédito es para Yegor Vasilenko y Fernando Mercês, de Binarly.",[12,161,162],{},"Estas son las versiones afectadas y las corregidas, tal como vienen en el aviso:",[58,164,165,178],{},[61,166,167],{},[64,168,169,172,175],{},[67,170,171],{},"Modelo",[67,173,174],{},"Vulnerable",[67,176,177],{},"Corregida",[73,179,180,191,202,213,224,235,246,257,268,279],{},[64,181,182,185,188],{},[78,183,184],{},"GS1900-8",[78,186,187],{},"2.90(AAHH.2)C0 y anteriores",[78,189,190],{},"2.90(AAHH.3)C0",[64,192,193,196,199],{},[78,194,195],{},"GS1900-8HP",[78,197,198],{},"2.90(AAHI.2)C0 y anteriores",[78,200,201],{},"2.90(AAHI.3)C0",[64,203,204,207,210],{},[78,205,206],{},"GS1900-10HP",[78,208,209],{},"2.90(AAZI.2)C0 y anteriores",[78,211,212],{},"2.90(AAZI.3)C0",[64,214,215,218,221],{},[78,216,217],{},"GS1900-16",[78,219,220],{},"2.90(AAHJ.2)C0 y anteriores",[78,222,223],{},"2.90(AAHJ.3)C0",[64,225,226,229,232],{},[78,227,228],{},"GS1900-24",[78,230,231],{},"2.90(AAHL.2)C0 y anteriores",[78,233,234],{},"2.90(AAHL.3)C0",[64,236,237,240,243],{},[78,238,239],{},"GS1900-24E",[78,241,242],{},"2.90(AAHK.2)C0 y anteriores",[78,244,245],{},"2.90(AAHK.3)C0",[64,247,248,251,254],{},[78,249,250],{},"GS1900-24EP",[78,252,253],{},"2.90(ABTO.2)C0 y anteriores",[78,255,256],{},"2.90(ABTO.3)C0",[64,258,259,262,265],{},[78,260,261],{},"GS1900-24HPv2",[78,263,264],{},"2.90(ABTP.2)C0 y anteriores",[78,266,267],{},"2.90(ABTP.3)C0",[64,269,270,273,276],{},[78,271,272],{},"GS1900-48",[78,274,275],{},"2.90(AAHN.2)C0 y anteriores",[78,277,278],{},"2.90(AAHN.3)C0",[64,280,281,284,287],{},[78,282,283],{},"GS1900-48HPv2",[78,285,286],{},"2.90(ABTQ.2)C0 y anteriores",[78,288,289],{},"2.90(ABTQ.3)C0",[12,291,292,293,296],{},"La regla rápida: ",[16,294,295],{},"si la versión termina en .2 o en un número menor, está expuesta; la buena termina en .3",". Zyxel aclara que publica parches para los modelos dentro de su periodo de soporte de vulnerabilidades y que los que no aparecen en la tabla no están afectados.",[298,299],"ad-banner",{},[37,301,303],{"id":302},"por-qué-te-importa-aunque-la-falla-sea-solo-de-red-local","Por qué te importa aunque la falla sea \"solo\" de red local",[12,305,306,307,310,311,314],{},"El aviso habla de un atacante ",[16,308,309],{},"en la LAN",", y es tentador pensar que eso deja fuera a cualquiera que no esté sentado en tu oficina. No es así de simple. En una PyME, la red local suele ser ",[16,312,313],{},"una sola red plana"," donde conviven las computadoras, la impresora, las cámaras, el wifi de invitados mal separado y cualquier equipo que alguien conectó \"nada más para probar\". Basta una laptop infectada, un dispositivo IoT comprometido o un acceso remoto mal cerrado para que alguien quede \"en la LAN\".",[12,316,317,318,321,322,325,326,329],{},"Y lo que se lleva no es poco. En la campaña documentada, el atacante ejecutó comandos y bajó un script que recolectaba la ",[16,319,320],{},"configuración del switch, los hashes de las credenciales de root y la información de la red",". GreyNoise vincula la actividad a un actor que identifica como ",[16,323,324],{},"Kapibala",", dentro de una campaña llamada ",[16,327,328],{},"Red Heron",". Con la configuración de un switch en la mano se dibuja el mapa completo: VLANs, direccionamiento y qué cuelga de cada puerto.",[37,331,333],{"id":332},"qué-hacer-esta-semana","Qué hacer esta semana",[335,336,337,349,355,361,367],"ol",{},[338,339,340,343,344,348],"li",{},[16,341,342],{},"Encuentra tus GS1900."," Revisa rack, gabinetes y los switches PoE que alimentan cámaras, teléfonos o puntos de acceso. Si no tienes inventario de red, este es el pretexto para levantarlo; nuestro tutorial para ",[45,345,347],{"href":346},"/blog/tutorial/escanear-vulnerabilidades-red","escanear vulnerabilidades en tu red"," te sirve para encontrar lo que nadie recuerda haber instalado.",[338,350,351,354],{},[16,352,353],{},"Compara la versión de firmware con la tabla."," Si termina en .2 o menos, descarga la .3 del portal de Zyxel para tu modelo exacto y programa la actualización fuera de horario: el switch se reinicia y todo lo conectado pierde red unos minutos.",[338,356,357,360],{},[16,358,359],{},"Cambia la contraseña de administración después de actualizar."," Si el equipo estuvo expuesto, asume que el hash de root ya salió; cambia también cualquier contraseña que se repita en otros equipos de red.",[338,362,363,366],{},[16,364,365],{},"Saca la interfaz web de las redes de usuarios."," La administración del switch debería responder solo desde una VLAN o equipo de gestión, no desde cualquier computadora de la oficina ni desde el wifi.",[338,368,369,372],{},[16,370,371],{},"Revisa si alguien cambió algo."," Compara la configuración actual contra el último respaldo que tengas: usuarios nuevos, puertos espejo (mirror) o rutas que no reconoces son señales de alarma.",[374,375,378],"callout",{"icon":376,"title":377},"i-lucide-wifi","El mismo día, otro aviso de Zyxel para puntos de acceso",[12,379,380,381,384,385,388,389,392,393,396,397,400,401,404],{},"Zyxel también publicó el 3 de noviembre ",[16,382,383],{},"CVE-2026-76955",", un desbordamiento de búfer en el binario zdp_wtp que permite a un atacante en la LAN ",[16,386,387],{},"escalar privilegios",". Afecta puntos de acceso de las series ",[16,390,391],{},"NWA, WAX y WBE"," (corregidos en 7.12(x.1)C0 o 7.40(x.2)C0 según la rama), los ",[16,394,395],{},"FWA7",", el controlador ",[16,398,399],{},"WAC500H"," (hotfix bajo solicitud a soporte) y el router ",[16,402,403],{},"USG LITE 60AX"," (corregido en V2.40(ACIP.0)C0, que se actualiza desde la nube). El aviso no menciona explotación activa. Si ya vas a tocar los switches, revisa los AP en la misma ventana.",[37,406,408],{"id":407},"el-patrón-que-se-repite","El patrón que se repite",[12,410,411,412,416,417,421,422,425,426,430],{},"No es la primera vez este otoño que un parche resulta incompleto: a fines de octubre Ivanti tuvo que parchar una tercera falla de la cadena de ",[45,413,415],{"href":414},"/blog/noticias/ivanti-connect-secure-parche-cve-2026-111357-118527-kev","Ivanti Connect Secure",", y los equipos de red siguen siendo blanco preferido, como vimos con ",[45,418,420],{"href":419},"/blog/noticias/mikrotik-routeros-mikrotrick-kev-sharepoint-cve-2026-65660","MikroTik RouterOS",". La lección para una PyME es práctica: ",[16,423,424],{},"actualizar una vez no cierra el tema",". Hay que tener a alguien que revise los avisos del fabricante de cada equipo de red, no solo los de Windows. Si tu red además anda lenta o con caídas raras después de estos cambios, el ",[45,427,429],{"href":428},"/blog/tutorial/red-lenta-oficina-diagnostico","diagnóstico de red lenta en la oficina"," te ayuda a descartar lo básico.",[432,433],"call-to-action",{"description":434,"eyebrow":435,"icon":436,"label":437,"title":438,"to":439},"Revisamos modelos y firmware de tu equipo de red, aplicamos las versiones corregidas fuera de horario y dejamos la administración en una red separada.","Redes","i-lucide-network","Agendar revisión","Pon al día los switches y AP de tu oficina","/contacto",{"title":441,"searchDepth":442,"depth":443,"links":444},"",2,3,[445,446,447,448,449],{"id":39,"depth":442,"text":40},{"id":147,"depth":442,"text":148},{"id":302,"depth":442,"text":303},{"id":332,"depth":442,"text":333},{"id":407,"depth":442,"text":408},"noticias",{"title":452,"description":453,"label":454,"to":455,"icon":436},"¿Cuántos switches tienes y con qué firmware?","Inventariamos los equipos de red de tu oficina, aplicamos el firmware corregido y sacamos la administración de las redes de usuarios.","Ver servicios de redes","/servicios/redes","2026-11-05","Zyxel publicó el 3 de noviembre CVE-2026-107441: el exploit ligado al ataque a 996 switches GS1900 funcionaba aun con el parche de junio. Qué firmware instalar.",false,"md",[461,464,467,470],{"question":462,"answer":463},"¿Qué es CVE-2026-107441?","Una escritura fuera de límites en el programa CGI del firmware de los switches Zyxel de la serie GS1900. Según el aviso de Zyxel del 3 de noviembre de 2026, permite que un atacante dentro de la red local, sin credenciales, ejecute comandos del sistema operativo con una petición HTTP preparada. La reportaron investigadores de Binarly.",{"question":465,"answer":466},"Ya actualicé por CVE-2026-7273 en septiembre, ¿estoy protegido?","No. Las versiones que corrigieron CVE-2026-7273, terminadas en .2, siguen siendo vulnerables a la nueva falla. Zyxel marca como afectadas 2.90(xxxx.2)C0 y anteriores, y la versión corregida termina en .3, por ejemplo 2.90(AAHL.3)C0 para el GS1900-24.",{"question":468,"answer":469},"¿Está en el catálogo de CISA de vulnerabilidades explotadas?","Al corte del catálogo del 4 de noviembre de 2026, CVE-2026-107441 no aparecía en el KEV de CISA; sí está CVE-2026-7273 desde el 21 de septiembre. Aun así, BleepingComputer reporta que el exploit que encontró Binarly, ligado a la misma campaña que comprometió 996 switches, aprovecha justamente la falla nueva, así que conviene tratarla como explotada.",{"question":471,"answer":472},"¿Qué hago si mi modelo no aparece en la tabla?","Zyxel dice que los modelos que no están en la tabla no están afectados, y que los parches se publican para los equipos dentro de su periodo de soporte de vulnerabilidades. Si tienes un GS1900 que no aparece, confirma con tu distribuidor si es que no está afectado o si ya salió de soporte; en el segundo caso, toca reemplazarlo.",null,"/images/blog/noticias/zyxel-gs1900-cve-2026-107441-parche-junio-no-bastaba.jpg","Switch administrable de 24 puertos con luces de actividad encendidas dentro de un gabinete de red de oficina","informational",[478,479,480,481],"zyxel gs1900 cve-2026-107441","actualizar firmware switch zyxel","zyxel gs1900 parche noviembre 2026","switch administrable vulnerabilidad pyme",{},true,"/blog/noticias/zyxel-gs1900-cve-2026-107441-parche-junio-no-bastaba","2026-11-05T15:30:00-06:00",5,{"title":5,"description":457},"Zyxel GS1900 CVE-2026-107441: el parche de junio no bastó","blog/noticias/zyxel-gs1900-cve-2026-107441-parche-junio-no-bastaba",[491,492,493,494],"ciberseguridad","redes","vulnerabilidades","infraestructura","wKnySpHd5dIJ9bG9QuXnsij_vhj-VF1VcSOsatbZ1Pk",{"path":497,"title":498},"/blog/noticias/xcpe-botnet-tv-box-android-recepcion-red-oficina","Google desarticula XCPE, la botnet que venía de fábrica en 1.3 millones de TV box Android: revisa la de tu recepción",{"path":500,"title":501},"/blog/noticias/fda-trazabilidad-lote-fsma-204-comentarios-6-diciembre","La FDA revisa hoy cómo aflojar la trazabilidad por lote: si exportas alimentos a EE. UU., tienes hasta el 6 de diciembre para opinar",[503,510,516],{"path":504,"title":505,"description":506,"date":507,"category":450,"image":508,"imageAlt":509,"readingTime":486},"/blog/noticias/patch-tuesday-noviembre-2026-hotpatch-server-2022-reinicio-vpn","Patch Tuesday del 10 de noviembre: Windows Server 2022 con hotpatch sí reinicia y el arreglo de Always On VPN llega con retraso","El 10 de noviembre los servidores Windows Server 2022 con hotpatch deben reiniciar, y en diciembre también. Always On VPN ya tiene arreglo. Qué preparar.","2026-11-09","/images/blog/noticias/patch-tuesday-noviembre-2026-hotpatch-server-2022-reinicio-vpn.jpg","Rack de servidores en un cuarto de TI con un monitor que muestra una ventana de mantenimiento programada para reiniciar después de instalar actualizaciones",{"path":511,"title":512,"description":513,"date":507,"category":450,"image":514,"imageAlt":515,"readingTime":486},"/blog/noticias/gemini-2-5-pro-flash-apagado-1-diciembre-redireccion-automatica","Gemini 2.5 Pro y 2.5 Flash dejan de existir en la API el 1 de diciembre: Google mandará tus llamadas a otro modelo sin preguntar","Desde el 1 de diciembre, la API de Gemini manda las llamadas de 2.5 Pro a 3.8 Flash y las de 2.5 Flash a 3.5 Flash-Lite, con su precio. Qué revisar.","/images/blog/noticias/gemini-2-5-pro-flash-apagado-1-diciembre-redireccion-automatica.jpg","Editor de código con una llamada a la API de Gemini y una flecha que desvía la petición de un modelo a otro",{"path":517,"title":518,"description":519,"date":507,"category":450,"image":520,"imageAlt":521,"readingTime":486},"/blog/noticias/dynamics-nav-2017-fin-soporte-11-enero-business-central","Dynamics NAV 2017 se queda sin soporte el 11 de enero de 2027: el camino a Business Central tiene tres escalas","Microsoft termina el soporte extendido de Dynamics NAV 2017 el 11 de enero de 2027. NAV 2016 ya venció y NAV 2018 sigue un año. Rutas, costos y qué decidir.","/images/blog/noticias/dynamics-nav-2017-fin-soporte-11-enero-business-central.jpg","Pantalla de un ERP antiguo con menús grises junto a una laptop con un tablero moderno de Business Central, sobre un escritorio de contabilidad",{"id":523,"avatar":473,"bio":524,"entityType":525,"expertise":526,"extension":527,"meta":528,"name":6,"role":529,"slug":530,"social":473,"stem":531,"url":7,"__hash__":532},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]