Bemerkenswert ist, dass die Angriffe zunächst einer älteren Schwachstelle zugeschrieben wurden, die Zyxel bereits Monate zuvor behoben hatte. Am 16. Juni 2026 hatte der Hersteller Updates für CVE-2026-7273 ausgeliefert, einen Pre-Authentication-Pufferüberlauf in denselben GS1900-Switches.
Etwa ab dem 17. August beobachtete das Sicherheitsunternehmen GreyNoise, wie ein mutmaßlich chinesischsprachiger Akteur mit der Bezeichnung Kapibala Zyxel-Switches angriff. Nach Angaben von GreyNoise wurden dabei 996 Geräte in 48 Ländern kompromittiert. Die Angreifer führten aus der Ferne Befehle aus und luden anschließend ein Skript nach, das Gerätekonfigurationen, gehashte Root-Zugangsdaten und Netzwerkinformationen einsammelte.
GreyNoise ordnete Kapibala der Angriffskampagne Red Heron zu, die laut einer früheren Veröffentlichung von Acronis eine kritische Schwachstelle im selbst gehosteten Git-Dienst Gitea ausnutzte. Als GreyNoise die Kampagne am 21. September offenlegte, führte das Unternehmen die Angriffe auf CVE-2026-7273 zurück – also auf die im Juni gepatchte Lücke. Am selben Tag nahm die US-Behörde CISA CVE-2026-7273 in ihren Katalog bekannter ausgenutzter Schwachstellen auf und verpflichtete damit US-Bundesbehörden zum Handeln.
Forscher des auf Firmware-Sicherheit spezialisierten Unternehmens Binarly stellten jedoch fest, dass der in den Angriffen genutzte Exploit tatsächlich auf eine separate, bis dahin unbekannte und ungepatchte Schwachstelle zielte. Bei der Untersuchung von Red-Heron-Infrastruktur, die mit der Backdoor JITTERLY und dem Rootkit SIXZUT in Verbindung steht, stießen sie auf ein offen zugängliches Archiv mit einem obfuskierten Python-Exploit für Zyxel-GS1900-Switches.
Die Analyse ergab, dass der Exploit gezielt prüfte, ob die Firmware bereits gegen CVE-2026-7273 gepatcht war – ein Hinweis darauf, dass er für genau diese Versionen entwickelt oder angepasst worden war. Am 28. September bestätigte Binarly, dass der Exploit gegen alle zehn für CVE-2026-7273 gepatchten Firmware-Versionen weiterhin funktionierte.
Technisch hatte das frühere Update Prüfungen ergänzt, die einen Pufferüberlauf verhindern sollten. Angreifer konnten diese jedoch umgehen, indem sie einen Parameterzähler manipulierten, bevor er validiert wurde. So ließ sich Speicher überschreiben und Befehle ohne Authentifizierung ausführen – auch auf Switches mit den früheren Sicherheitsupdates.
Binarly meldete die Erkenntnisse am 29. September an Zyxel; der Hersteller bestätigte die neue Schwachstelle am 11. Oktober und vergab CVE-2026-107441. Zyxel stufte sie als eigenständige Lücke ein, weil der Exploit zusätzlich eine fehlende Prüfung der Länge von HTTP-Parametern ausnutzte. Die am 22. Oktober veröffentlichte Firmware begrenzt die Parametergrößen und validiert die Parameteranzahl, bevor Daten in den Speicher kopiert werden, und unterbindet damit die Angriffstechnik.
Offen bleibt, ob der gefundene Exploit gezielt zur Umgehung der Juni-Updates entwickelt wurde oder eine verwandte Schwachstelle ausnutzte, die die früheren Patches nicht erfasst hatten. Administratoren betroffener GS1900-Switches wird empfohlen, die aktuellen Firmware-Updates einzuspielen.