במתגים המנוהלים מסדרת GS1900 של Zyxel יש חולשה שמאפשרת לתוקף להריץ פקודות של מערכת ההפעלה על המתג עצמו, בלי שם משתמש ובלי סיסמה. התנאי הוא שהתוקף כבר נמצא ברשת המקומית, שכן זו אינה חולשה שמפעילים מהאינטרנט. הציון הוא 8.8 מתוך 10, ו-CISA סימנה אותה כמנוצלת ב-21 בספטמבר 2026.

מה החולשה?

הבעיה יושבת בתוכנית ה-CGI של המתג, הרכיב שמקבל את הבקשות מממשק הניהול שבדפדפן ומתרגם אותן לפעולות על המכשיר. בקשת HTTP בנויה במיוחד גורמת לתוכנית הזאת לכתוב יותר נתונים ממה שהוקצה להם מקום במחסנית, אזור הזיכרון שמחזיק בין היתר את המשתנים הזמניים ואת הכתובת שאליה הפונקציה אמורה לחזור כשתסיים.

כשהכתיבה חורגת מהגבול היא דורסת את מה שהיה שם. תוקף שמדייק את התוכן יכול להחליף את כתובת החזרה ולהפנות את המתג להריץ פקודות שלו. לכשל מהסוג הזה קוראים stack based buffer overflow.

הדרישה שהתוקף יהיה ברשת המקומית משנה את התמונה, ולא הופכת אותה לתיאורטית. היא אומרת שצריך קודם דריסת רגל: מחשב שנדבק, מכשיר אחר ברשת שנפרץ, או חיבור אלחוטי שמישהו הצליח להגיע אליו. משם המתג נמצא במרחק בקשה אחת.

מי מושפע?

הרשומה מונה עשרה דגמים בסדרה: GS1900-8, GS1900-8HP, GS1900-10HP, GS1900-16, GS1900-24, GS1900-24E, GS1900-24EP, GS1900-24HPv2, GS1900-48 ו-GS1900-48HPv2. בכל אחד מהם הקושחות שקדמו לבנייה השנייה של גרסה 2.90 חשופות לחולשה, והבנייה שמסתיימת ב-2 היא המתוקנת.

אלה מתגים לרשתות של משרדים ועסקים ולא ציוד ביתי. מי שיש לו נתב מהספק ותו לא, אין לו כאן מכשיר כזה. מי שמנהל רשת קטנה עם ציוד מנוהל דווקא כן עשוי למצוא אחד בארון התקשורת, וההתקנות האלה נוטות להישכח כי המתג עובד ואף אחד לא נוגע בו.

האם מנוצלת בפועל?

כן. החולשה נוספה ב-21 בספטמבר 2026 לקטלוג החולשות המנוצלות של CISA, הרשימה שהסוכנות האמריקאית מנהלת לחולשות שנצפה שימוש בהן בידי תוקפים, ומועד הטיפול שנקבע שם הוא 24 בספטמבר 2026.

שווה לשים לב לפער בין התאריכים. הרשומה עצמה פורסמה ב-16 ביוני 2026, והסימון כמנוצלת הגיע רק שלושה חודשים אחריה. חולשה שהתיקון שלה כבר מזמן בחוץ אינה מפסיקה להיות שימושית לתוקפים, בעיקר בציוד שלא נהוג לעדכן.

מה עושים?

בדקו איזה דגם יש לכם ואיזו גרסת קושחה הוא מריץ. שני הפרטים מופיעים בממשק הניהול של המתג, וצריך את שניהם כדי לדעת לאן לעדכן.

אלה הקושחות המתוקנות לפי הרשומה, לכל דגם הגרסה שלו:
GS1900-8 גרסה 2.90(AAHH.2)C0
GS1900-8HP גרסה 2.90(AAHI.2)C0
GS1900-10HP גרסה 2.90(AAZI.2)C0
GS1900-16 גרסה 2.90(AAHJ.2)C0
GS1900-24 גרסה 2.90(AAHL.2)C0
GS1900-24E גרסה 2.90(AAHK.2)C0
GS1900-24EP גרסה 2.90(ABTO.2)C0
GS1900-24HPv2 גרסה 2.90(ABTP.2)C0
GS1900-48 גרסה 2.90(AAHN.2)C0
GS1900-48HPv2 גרסה 2.90(ABTQ.2)C0

את הקבצים ואת הוראות ההתקנה מורידים מהודעת האבטחה של Zyxel.

עד שהקושחה מותקנת, הגבילו מי יכול להגיע לממשק הניהול של המתג. החולשה נפתחת דרך בקשת HTTP לממשק הזה, כך שהעברת הניהול ל-VLAN נפרד ופתיחתו רק לכתובות שאתם מכירים מצמצמות ישירות את מי שיכול לשלוח את הבקשה.