סוכנות הסייבר האמריקאית CISA הוסיפה לקטלוג הפגיעויות המנוצלות בפועל (KEV) פגיעות גלישת מחסנית (stack-based buffer overflow) במתגי Zyxel GS1900, המאפשרת לתוקף ברשת המקומית להריץ פקודות על המתג בלי לספק פרטי אימות.
| מזהה | CVE-2026-7273 |
| מוצר וגרסאות מושפעות | Zyxel GS1900-48HPv2, קושחה עד ובכולל 2.90(ABTQ.1)C0 (ייתכן שדגמים נוספים בסדרת GS1900 מושפעים — לא פורט רשמית בהודעת CISA) |
| חומרה (CVSS) | 8.8 מתוך 10 — חומרה גבוהה (CVSS 3.1) |
| מנוצל בפועל | כן, לפי CISA — נכנס לקטלוג ה-KEV ב-21/09/2026 |
| סטטוס תיקון | קיימת קושחה מתוקנת מהיצרן |
מה קרה
הפגיעות נמצאת בתוכנת ה-CGI של ממשק הניהול במתג, שאינה בודקת כראוי את אורך הקלט שמגיע בבקשת HTTP לפני שהיא מעתיקה אותו לחוצץ (buffer) בגודל קבוע על המחסנית. בקשה מעוצבת בקפידה עלולה לדרוס זיכרון סמוך ולהוביל להרצת פקודות מערכת על המתג, ובכך למסור לתוקף שליטה מלאה בו. הפגיעות דורשת גישה לרשת המקומית או הסמוכה, אך לא דורשת אימות או הרשאות מיוחדות. Zyxel פרסמה עדכון קושחה מתקן עוד ביוני 2026, ו-CISA הוסיפה כעת את הפגיעות לקטלוג ה-KEV על סמך עדויות לניצול בפועל, וקבעה לסוכנויות פדרליות אמריקאיות מועד תיקון עד ה-24 בספטמבר 2026.
נקודות לשים לב
- עדכן את קושחת המתג לגרסה שמעבר ל-2.90(ABTQ.1)C0, או לגרסה העדכנית ביותר הזמינה באתר Zyxel, בהקדם האפשרי.
- הפגיעות דורשת גישה לרשת המקומית ולא אימות — ודא שממשק הניהול של המתג אינו חשוף לאינטרנט, ושהוא מופרד ב-VLAN ניהולי נפרד מרשת המשתמשים.
- אם אינך יכול לעדכן קושחה מיד, הגבל גישה לממשק הניהול (CGI/HTTP) של המתג רק לכתובות IP מהימנות באמצעות רשימת בקרת גישה.
- מועד התיקון שנקבע לסוכנויות פדרליות בארה"ב — 24 בספטמבר 2026 — הוא אינדיקטור לרמת הדחיפות שרלוונטית גם לארגונים אחרים שמפעילים את הדגם הזה.
- בדוק אם יש בסביבת הרשת שלך מתגי Zyxel GS1900, כולל כאלה שהותקנו על ידי אינטגרטורים או ספקי ניהול חיצוניים ואינם תחת מעקב IT ישיר.
מקורות: CISA · Zyxel Security Advisory
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
