Zyxel GS1900 系列交换机上那个 6 月被 CISA 拉进 KEV、要求联邦机构三天内修完的漏洞，补丁其实没修干净。安全公司 Binarly 在 9 月 29 日向厂商报告了另一个缺陷，编号 CVE-2026-107441：能访问 Web 管理界面的攻击者，无需登录即可在交换机上以 root 权限执行任意命令。Zyxel 已为 10 款型号发布 2.90 Patch 3 固件，但研究者认为这是一枚被漏掉的零日——他们拿到利用代码时，攻击方早就在用了。
这条新闻真正的信息量在补丁质量，而不在漏洞数量。
事件概述
CISA 在 9 月 21 日把 CVE-2026-7273（CVSS 8.8，CGI 程序栈溢出）加入 KEV，处置期限给到 9 月 24 日，对应的修复就是 2.90 Patch 2 固件。同一天，GreyNoise 发布攻击报告：约在 8 月 17 日前后，攻击者从 996 台 GS1900 交换机上取走了数据，包括交换机配置、root 口令哈希和网络信息；这 996 台里有 564 台还在用出厂默认口令。
Binarly 在 9 月 17 日从一个开放目录里捡到了这份利用代码，该服务器同时充当另一个后门程序的命令服务器。9 月 29 日报告厂商，10 月 23 日 Patch 3 固件上线，本周厂商发布安全公告（11-03）。Zyxel 给 7273 的解释是「缺少参数计数检查」，而「缺少参数长度检查」被单独立为一枚新漏洞，也就是 107441。
技术细节
漏洞在交换机的 Web 请求处理程序里，是一个越界写。该程序把每个请求参数存进一块固定区域，容量是 140 个参数。它从不检查单个参数的大小；在 Patch 2 之前，它甚至不检查已经存了多少个参数。
利用方式很朴素：第 140 个参数发一个超大值，写穿这块区域的尾部，正好覆盖掉程序自己的参数计数器。接下来的参数就被写到区域之外，于是攻击者可以把程序即将调用的函数指针换成自己的命令。
Patch 2 加了计数器检查——但检查放在超大参数被拷贝之后。执行到那一步时，计数器里已经是攻击者写入的值，检查自然放行。Binarly 说这条利用链对 Patch 2 无需任何修改即可跑通，他们在模拟固件和真机上都验证过。Patch 3 把检查挪到拷贝之前，并限制了拷贝长度，这才算修住。
评分上有个值得注意的分歧：厂商 CVE 记录给 8.8，攻击向量 AV:A（相邻网络），措辞是「LAN-based, unauthenticated attacker」；Binarly 给 9.8，并在自己的公告里写明「攻击者只需要能访问到管理服务」，命令以 root 权限执行。实际暴露面取决于管理面放在哪张网里——如果管理 VLAN 和办公网打通，或者 Web 管理界面被端口映射到了公网，AV:A 这个前缀就没什么保护意义。
影响评估
受影响的是 10 款型号：GS1900-8、8HP、10HP、16、24、24E、24EP、24HPv2、48、48HPv2。判定标准很简单——固件版本在 2.90(AAxx.2)C0 或更早的，都要升到对应的 .3 版本。GS1900 是大量中小企业、酒店、学校、园区在用的接入层交换机，这类设备的典型处境是：装完就忘，固件三年不动，管理界面为了「方便远程」直接映射到公网。
拿到配置和 root 口令哈希意味着什么，做运维的都清楚：交换机的 VLAN 划分、端口配置、上联拓扑、SNMP 团体名、可能存在的 TACACS/RADIUS 共享密钥，一次全交出去。root 哈希可以被离线爆破，而接入层交换机一旦被控，做中间人、改 VLAN 把流量导去攻击者主机、或者干脆当跳板进内网，都是常规操作。564 台还在用默认口令这个数字，说明很大一部分设备连第一道门都没关。
修复建议
- 升级到对应型号的 2.90 Patch 3 固件（如 GS1900-24 为
2.90(AAHL.3)C0），固件与发行说明在 Zyxel 社区帖发布 - 厂商公告没有给临时缓解措施，也没有说明升级后是否会清除攻击者已建立的访问。也就是说，对被入侵过的设备，升级不等于清理
- 把管理界面从公网撤回来。只允许管理 VLAN 或跳板机访问，关闭 HTTP 只留 HTTPS，改掉默认口令，禁用未使用的 SNMP 与 Telnet
- 按已被入侵处理做排查：核对配置是否被改、是否有非本人添加的本地账户、是否有异常上联或镜像端口、是否有可疑的定时任务与固件版本漂移
- 关注 KEV 动态。截至发稿，CISA 的 KEV 目录（前一日更新）尚未收录 CVE-2026-107441，但 Binarly 表示会很快发布精简版 PoC——PoC 公开之后，暴露在公网的管理界面基本等于敞开的门