Alerta da CISA e catálogo de vulnerabilidades exploradas
A Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos (CISA) adicionou uma falha de segurança agora corrigida que impacta switches da série Zyxel GS1900 ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), citando evidências de exploração ativa. A vulnerabilidade, rastreada como CVE-2026-7273, tem pontuação CVSS de 8,8 e é uma vulnerabilidade de estouro de buffer na pilha que pode resultar em execução arbitrária de código no sistema operacional.
Além do caso Zyxel, a mesma campanha de exploração envolveu falhas no Veeam, indicando uma tática coordenada de atacantes focados em infraestrutura de backup e rede. A adição ao catálogo KEV sinaliza que a exploração é generalizada e urgente, exigindo ação imediata das organizações afetadas.
Detalhes técnicos da vulnerabilidade Zyxel
A vulnerabilidade no CGI program dos switches Zyxel GS1900 Series permite que um atacante não autenticado na rede local envie uma solicitação HTTP especialmente elaborada para um dispositivo vulnerável. A exploração bem-sucedida pode permitir que o atacante execute comandos do sistema operacional no switch afetado, criando um risco sério para organizações que usam os dispositivos em redes empresariais ou operacionais.
Os switches Zyxel GS1900 são dispositivos de rede gerenciados, o que significa que uma violação pode dar a um atacante uma posição valiosa dentro de um ambiente alvo. A partir de um switch comprometido, os agentes de ameaça podem tentar monitorar o tráfego, alterar configurações de rede, interromper a conectividade, mover-se lateralmente ou estabelecer persistência por meio de alterações de configuração.
Implicações regulatórias e diretrizes de remediação
A CISA classificou o problema sob CWE-121, que se refere a fraquezas de estouro de buffer na pilha. Tais falhas ocorrem quando um programa escreve mais dados em um buffer de memória do que pode suportar com segurança. A CISA adicionou CVE-2026-7273 ao seu catálogo em 21 de setembro de 2026, com prazo de remediação de 24 de setembro de 2026.
Urgindo organizações afetadas a aplicar mitigações fornecidas pelo fabricante sob a Diretiva Operacional Vinculante 26-04 (BOD 26-04), que prioriza atualizações de segurança com base no risco. A CISA também marcou a vulnerabilidade como exigindo triagem forense sob BOD 26-04. Isso indica que as organizações não devem tratar a remediação como um evento apenas de patch.
Evidências de exploração ativa
Até o momento, a CISA não confirmou se a vulnerabilidade foi usada em campanhas de ransomware. No entanto, a exploração ativa e a possibilidade de execução de comando não autenticada tornam a falha especialmente importante para defensores. Atacantes frequentemente visam dispositivos de infraestrutura de rede porque eles podem fornecer ampla visibilidade e controle após uma violação inicial.
A combinação de falhas no Zyxel e Veeam sugere que os atacantes estão buscando pontos de pivô para acessar backups e controlar a rede simultaneamente. Isso aumenta a superfície de ataque e dificulta a recuperação, pois a perda de backups impede a restauração segura após um incidente.
Medidas de mitigação recomendadas
Organizações usando switches Zyxel GS1900 Series devem identificar dispositivos expostos e internamente acessíveis, restringir interfaces de gerenciamento a redes administrativas confiáveis. Aplique a orientação da Zyxel o mais rápido possível e revise os logs para possíveis tentativas de exploração. Se as mitigações não estiverem disponíveis, a CISA recomenda descontinuar o uso do produto afetado.
Equipes de SOC devem configurar regras de firewall para bloquear tráfego HTTP não autorizado nas portas de administração dos switches. A segmentação de rede é crucial para isolar dispositivos de gerenciamento de rede do resto da infraestrutura corporativa.
Comparação com incidentes anteriores
Este incidente lembra campanhas anteriores onde atacantes visavam dispositivos de borda para ganhar acesso interno. A diferença aqui é a velocidade de exploração após a divulgação pública, destacando a importância de patches rápidos em dispositivos de infraestrutura crítica. A menção ao Veeam amplia o escopo para além de hardware de rede, atingindo software de backup essencial.
O que os CISOs devem fazer imediatamente
- Inventariar todos os dispositivos Zyxel GS1900 e Veeam em uso.
- Aplicar patches de segurança imediatamente ou isolar dispositivos da internet.
- Monitorar logs de autenticação e tráfego de rede para atividade anômala.
- Realizar triagem forense em sistemas que possam ter sido comprometidos.
Perguntas frequentes
Qual o prazo para correção? A CISA estabeleceu o dia 24 de setembro como deadline para mitigação sob BOD 26-04.
Dispositivos offline estão seguros? Não necessariamente, se houver acesso físico ou se a rede interna já estiver comprometida.