Zyxel 交換器修補了照被入侵

黑客入侵 48 個國家共 996 部 Zyxel 交換器

據網絡保安公司 GreyNoise 的觀察，一個疑似講中文的黑客組織由 8 月 17 日左右開始，攻擊台灣網絡設備商 Zyxel 的 GS1900 系列交換器（switch，即企業內部網絡用來連接電腦和伺服器的設備），最終入侵了 48 個國家共 996 部。GreyNoise 把這個組織稱為 Kapibala，並把它連繫到另一宗曾攻擊自架 Git 服務 Gitea 的入侵行動。

黑客毋須登入，只要能連上交換器的網頁管理介面，就可以遙距執行指令。據 BleepingComputer 報道，他們隨後下載一個腳本，收集交換器的設定檔、經雜湊處理的最高權限密碼及網絡資料。據 CSO Online 分析，這類資料等於一張企業網絡地圖，可以幫助入侵者再深入內部系統。

6 月的修補擋不住這次攻擊

Zyxel 在 6 月 16 日已就 GS1900 一個漏洞（CVE-2026-7273）推出修補。GreyNoise 在 9 月 21 日公開這次攻擊時，認為黑客利用的正是這個漏洞，美國網絡安全及基礎設施安全局（CISA）同日把它列入「已知被利用漏洞」名單。

不過，韌體保安公司 Binarly 在調查同一批黑客的伺服器時，在一個公開的目錄找到一個壓縮檔，內有針對 GS1900 的現成攻擊程式。Binarly 在 9 月 28 日確認，這個程式在 10 個已裝上 6 月修補的韌體版本上照樣有效，真正利用的是另一個未知漏洞。Binarly 指，6 月的修補加入了防止記憶體溢出的檢查，但攻擊程式可以在檢查之前先改動一個參數的計數，繞過防線。

據 BleepingComputer 報道，目前仍未清楚攻擊程式是特意寫來繞過 6 月的修補，還是剛好利用了修補漏掉的相關弱點。

Binarly 相信攻擊程式由大型語言模型寫成

據 Help Net Security 報道，Binarly 的研究人員表示，他們相信這個攻擊程式是由大型語言模型（LLM）生成，而他們自己亦用大型語言模型建立模擬環境，去測試受影響的韌體版本。Binarly 認為，保安通告和版本號碼不能盡信，最可靠的方法是直接檢查軟件的二進位程式碼。

已裝 6 月修補的用戶要再更新

新漏洞影響 10 款 GS1900 交換器，包括 GS1900-8、GS1900-24 及 GS1900-48。據 CSO Online 報道，Zyxel 把漏洞評為 8.8 分（滿分 10 分），版本號碼以 .2C0 或之前結尾的韌體都受影響，修正版本以 .3C0 結尾。Zyxel 建議管理員盡快更新，包括已裝上 6 月修補的交換器。Help Net Security 亦建議管理員檢查設備有沒有被入侵的跡象。

來源

• Zyxel fixes zero-day exploited to hack nearly 1,000 network switches（BleepingComputer）
• Zyxel patches a zero-day hiding behind an old fix（CSO Online）
• Patched Zyxel GS1900 switches remained open to in-the-wild exploit (CVE-2026-107441)（Help Net Security）