Zyxel GS1900 交換機 Patch 2 未能擋住攻擊：
新漏洞 CVE-2026-107441 需升級 Patch 3

發生了什麼

來源：本文整理自 The Hacker News 於 2026 年 11 月 5 日發布的報導，引述 Zyxel 安全公告（2026-11-03）、研究機構 Binarly 的技術分析、GreyNoise 的攻擊報告（2026-09-21）。原文連結，原文發布日期為 2026 年 11 月 5 日。

你在 2026 年 6 月升級了 Zyxel GS1900 交換機的 Patch 2 韌體（版本 2.90 Patch 2），以為已經修補了 CVE-2026-7273 漏洞。但研究機構 Binarly 發現，攻擊者使用的 exploit 仍然有效。

原來 Patch 2 加入的檢查時機錯了：過大的參數已經寫入記憶體、覆寫計數器之後才執行檢查，因此無法阻止攻擊。Zyxel 現在將此問題編號為新漏洞 CVE-2026-107441，並於 10 月 23 日釋出 Patch 3 韌體、11 月 3 日發布安全公告。

Patch 2 為何無法擋住攻擊

CVE-2026-7273 與 Patch 2

Zyxel 在 2026 年 6 月 16 日發布公告，將漏洞編號為 CVE-2026-7273，並釋出 2.90 Patch 2 韌體修補。

CVE-2026-107441 與 Patch 3

Binarly 於 9 月 29 日通報 Zyxel，指出 Patch 2 無法擋住 exploit。Zyxel 將此編號為 CVE-2026-107441，描述為 out-of-bounds write 漏洞，CVSS 評分 8.8，LAN-based 未驗證攻擊者可透過 crafted HTTP request 執行 OS 指令。

THN 引述 Binarly 的技術分析

THN 引述 Binarly 的說法指出，漏洞位於處理 web 請求的程式。程式為每個請求參數分配固定記憶體空間，最多可容納 140 個參數。

Patch 2 之前，程式完全不檢查參數大小與數量。Patch 2 加入了計數器檢查，但檢查時機錯誤。

Exploit 運作方式（THN 引述 Binarly）：

1. 送出第 140 個過大參數，覆寫參數計數器
2. 下一個參數就寫到記憶體空間之外
3. 攻擊者替換程式即將呼叫的函式為執行攻擊者指令的函式

Zyxel 的說明

THN 引述 Binarly 的說法，Zyxel 表示 CVE-2026-7273 是關於缺少計數器檢查，而 缺少大小檢查則是另一個漏洞，編號為 CVE-2026-107441。

Patch 3 的修正

在 Patch 3 的程式碼中，計數器在參數複製之前就先檢查，而且複製動作本身也加入大小限制。THN 引述 Binarly 的說法，這樣的修正才真正修補了漏洞。

野外攻擊狀況

GreyNoise 報告：996 台交換機遭攻擊

GreyNoise 於 2026 年 9 月 21 日發布報告，指出攻擊者在 8 月 17 日前後攻擊了全球 996 台 GS1900 交換機。

攻擊範圍橫跨 48 個國家，台灣有 123 台受害。其中 564 台仍使用出廠預設密碼。

攻擊者竊取的資料包括：

• 交換機設定檔
• 雜湊過的 root 憑證
• 網路資訊

GreyNoise 歸因於 CVE-2026-7273，但未說是否已裝 Patch 2

GreyNoise 將這次攻擊歸因於 CVE-2026-7273，但報告沒有說明受害設備是否已安裝 Patch 2。

Binarly 發現 exploit

THN 引述 Binarly 的說法，他們在 9 月 17 日於一個開放資料夾中發現 exploit，該伺服器同時也是 JITTERLY 後門的指揮伺服器。Exploit 的支援韌體清單包含 GS1900-24 的 Patch 2 版本。

THN 引述 Binarly 的說法，Binarly 9 月 29 日通報時，攻擊者已有可用的 exploit。

Zyxel 公告未說明是否已遭野外利用

Zyxel 的 11 月 3 日安全公告沒有說明 CVE-2026-107441 是否已在野外被利用。

CISA KEV 狀態

美國 CISA 於 9 月 21 日將 CVE-2026-7273 列入 KEV 清單，要求聯邦機構在 9 月 24 日前修補（即安裝 Patch 2）。

但截至 11 月 4 日，CISA KEV 清單尚未列入 CVE-2026-107441。

受影響型號與修補版本

Zyxel 公告列出 10 個 GS1900 型號的受影響與修正版本：

所有使用 Patch 2 或更早韌體的交換機都需要升級至對應型號的 Patch 3 版本。

韌體下載連結與釋出通知可在 Zyxel 社群網站找到（10 月 23 日發布，11 月 3 日編輯）。

Zyxel 公告的說明與限制

Zyxel 公告沒有提供 workaround（臨時緩解措施），供無法立即升級的使用者使用。

Zyxel 公告也沒有說明升級是否能移除攻擊者已建立的存取，或是管理者應該檢查哪些項目以確認交換機是否曾被入侵。

Binarly 與 Zyxel 之間的 CVSS 差異

THN 引述 Binarly 的說法，他們評估 CVE-2026-107441 的 CVSS 為 9.8（滿分 10），理由是攻擊者只需要網路可達性（network reachability）就能攻擊管理服務，而且執行的指令具有 root 權限。

Zyxel 的 CVSS 評分為 8.8，描述為 LAN-based 未驗證攻擊者。

Binarly 將釋出 PoC

THN 引述 Binarly 的說法，他們將很快發布較小版本的 exploit 作為 proof of concept（概念驗證）。

台灣讀者的實用建議

以下為一般資安建議（作者整理），不是 Zyxel 公告內容。

立即檢查與升級

1. 檢查型號與韌體版本：登入交換機管理介面或查看設備標籤，確認型號與目前韌體版本
2. 下載並安裝 Patch 3：若版本為 Patch 2 或更早（例如 2.90(AAHH.2)C0），立即從 Zyxel 下載對應型號的 Patch 3 並升級
3. 排程維護視窗：若交換機在生產環境且無法立即升級，排程最近的維護視窗進行升級

管理介面安全

4. 不要讓管理介面對外開放：確認交換機的 web 管理介面沒有從網際網路直接存取
5. 限制可連線來源：若管理介面必須保持開啟，使用防火牆或 ACL 限制只有特定管理 IP 可以連線
6. 改掉預設密碼：如果仍使用出廠預設密碼，立即改為強密碼

若懷疑已被入侵

7. 檢查設定檔變更：查看交換機設定檔是否有非預期的變更（例如新增的 VLAN、Port 設定、鏡像設定）
8. 檢視連線記錄：若交換機有記錄管理介面登入或存取，查看 8 月中旬前後是否有異常登入

作者推測的一般資安建議

以下建議是基於一般網路設備安全實務，並非 Zyxel 公告的內容：

• 網路隔離：將交換機管理介面放在獨立的管理 VLAN，與一般使用者網路隔離
• 監控網路流量：若組織有 IDS/IPS 或 SIEM，監控從交換機發出的異常連線
• 定期檢查韌體版本：建立流程定期檢查網路設備韌體版本，確保安全更新及時安裝

為什麼 Patch 2 沒有擋住

這個案例顯示修補品質與修補時機的重要性：

1. 檢查順序錯誤：Patch 2 的檢查在惡意資料已經寫入之後才執行，形同虛設
2. 問題拆分：Zyxel 將「缺少計數器檢查」與「缺少大小檢查」視為兩個獨立問題，但攻擊者的 exploit 需要利用兩者的組合（作者推測）
3. 野外 exploit 持續有效：即使廠商發布修補，攻擊者手上的 exploit 仍然可用，據 Binarly 分析，Patch 3 才修好

你可以學到什麼

站在攻擊者的角度：你在 6 月升級了 Patch 2，但我的 exploit 還是能用。因為 Patch 2 的檢查時機錯了，我送出的第 140 個參數已經覆寫你的計數器，之後的參數就寫到記憶體之外，我可以替換你程式要呼叫的函式。我透過你交換機的 web 管理介面送出 crafted HTTP request，不需要登入，就能執行我的指令。

如果你使用 Zyxel GS1900

1. 立即檢查所有 GS1900 交換機版本，確認是否已升級至 Patch 3（2.90(AAHH.3)C0 等，依型號而異）。
2. 若仍為 Patch 2 或更早版本，排程升級。Patch 2 無法擋住攻擊者的 exploit。
3. 管理介面不要對外開放，或至少限制可連線來源 IP。
4. 改掉預設密碼。996 台受害交換機中，超過一半（564 台）仍使用出廠預設密碼。
5. 若交換機可能已被入侵（特別是 8 月中旬前後），檢查設定檔變更與連線記錄。

據 Binarly 分析，Patch 2 沒有真正修補這個漏洞，攻擊者的 exploit 對 Patch 2 仍然有效。今天就升級至 Patch 3，今天就檢查管理介面與密碼。

本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。