Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración conceptual de extracción de configuraciones de switches Zyxel GS1900.

Síntesis y análisis propios a partir de la cobertura de The Hacker News; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

The Hacker News informa de que CISA añadió CVE-2026-7273, un desbordamiento de búfer en switches Zyxel GS1900, a su catálogo de vulnerabilidades explotadas.

El aviso de Zyxel citado por la publicación describe que un atacante sin autenticar con acceso desde la LAN puede enviar una petición HTTP preparada al programa CGI y llegar a ejecutar comandos del sistema operativo.

GreyNoise atribuye a un actor malicioso la explotación y extracción de datos de 996 switches en 48 países desde el 17 de agosto de 2026.

Según la cobertura, el atacante ejecutó TFTP para obtener y lanzar un script colector que transmitió configuraciones, credenciales root con hash e información de red.

El código observado se dirigía expresamente a firmware 2.10-2.90 del GS1900-24, aunque incluía opciones para ajustar el ataque a otros firmwares dentro del alcance de la vulnerabilidad.

Zyxel había publicado versiones corregidas para diez modelos de la serie GS1900, enumeradas por modelo en su aviso.

Análisis de Defensops

La inclusión en KEV y la telemetría de GreyNoise convierten un fallo previamente parcheado en una prioridad de respuesta concreta. El acceso requerido es desde una red que alcance la interfaz de gestión; no conviene describirlo como explotación remota desde Internet en todos los despliegues. La exposición dependerá del modelo, el firmware y la segmentación de la LAN o de las redes de gestión.

El robo de configuraciones y de hashes de credenciales tiene consecuencias posteriores al parche. Esos datos pueden ayudar a reconocer la topología y a preparar accesos adicionales, pero la fuente no demuestra que los hashes se hayan descifrado ni que todos los equipos afectados hayan sufrido el mismo nivel de control. La revisión debe distinguir explotación observada, extracción confirmada en la investigación y consecuencias aún posibles.

La asociación del actor con otros incidentes se presenta en la cobertura como una coincidencia o solapamiento, no como atribución definitiva. Para los responsables de redes importa más identificar dispositivos expuestos y preservar evidencia de ejecución de herramientas o transferencias inesperadas que asignar una identidad al operador.

Prioridades de revisión

Inventariar los switches GS1900, su modelo exacto, versión de firmware y redes desde las que es accesible su interfaz de gestión.

Aplicar la versión corregida que Zyxel indica para cada modelo afectado y comprobar la versión efectiva tras el reinicio o la actualización.

Restringir el acceso de gestión a segmentos y administradores autorizados, y verificar que otros equipos de la LAN no pueden alcanzar la interfaz web.

Revisar registros y flujos de red disponibles para buscar peticiones HTTP inusuales, ejecución o transferencia por TFTP y tráfico saliente inesperado desde switches afectados.

Si hay indicios de extracción, conservar configuraciones y registros, revisar cambios de administración y evaluar la rotación de credenciales relacionadas con el dispositivo antes de cerrar el incidente.

Qué no se ha confirmado

La cifra de 996 switches y 48 países procede de la investigación de GreyNoise y no describe necesariamente todo el universo afectado.

La cobertura no confirma qué datos específicos se extrajeron de cada dispositivo ni si los hashes de credenciales fueron descifrados.

La relación exacta entre esta actividad y otros clústeres de intrusión sigue sin atribución concluyente.

Fuente

The Hacker News. Fecha indicada: 2026-09-22.