خیلی از تیم‌های شبکه پس از نصب یک وصلهٔ امنیتی پرونده را می‌بندند. ماجرای تازهٔ سوئیچ‌های Zyxel GS1900 نشان می‌دهد این کار همیشه کافی نیست. Zyxel روز ۳ نوامبر ۲۰۲۶ آسیب‌پذیری CVE-2026-107441 را اعلام کرد؛ نقصی که اکسپلویت آن پیش از این روی سوئیچ‌هایی کار می‌کرد که مدیرانشان فکر می‌کردند وصله شده‌اند.
در سپتامبر، GreyNoise گزارش داد یک گروه مشکوک چینی‌زبان از حدود ۱۷ اوت تنظیمات، هش رمز root و اطلاعات شبکهٔ ۹۹۶ سوئیچ GS1900 را در ۴۸ کشور جمع کرده است. این حملات به نقص قبلی، CVE-2026-7273، نسبت داده شد که وصله‌اش از ژوئن منتشر شده بود. اما پژوهشگران Binarly اکسپلویت مهاجمان را پیدا کردند و ۲۸ سپتامبر تأیید کردند روی هر ده نسخهٔ وصله‌شده هم کار می‌کند. مهاجم شمارندهٔ پارامترها را پیش از بررسی خراب می‌کرد و از کنترل‌های تازه رد می‌شد.
چند واقعیت کلیدی:
ده مدل GS1900 با نسخهٔ 2.90(xxxx.2)C0 و قدیمی‌تر آسیب‌پذیرند و اصلاح در نسخهٔ 2.90(xxxx.3)C0 آمده است.
حمله بدون رمز و با یک درخواست HTTP دست‌کاری‌شده به رابط وب سوئیچ انجام می‌شود.
Zyxel مهاجم را در شبکهٔ محلی می‌داند، اما Binarly می‌گوید هر شبکه‌ای که به رابط وب دسترسی دارد کافی است.
از ۹۹۶ قربانی، ۵۶۴ سوئیچ هنوز رمز پیش‌فرض کارخانه داشتند.
همهٔ سوئیچ‌های GS1900، به‌خصوص در شعب، را پیدا و نسخهٔ آن‌ها را ثبت کنید.
نسخهٔ .3 را نصب و پس از راه‌اندازی مجدد بررسی کنید.
رابط مدیریت را فقط در یک VLAN مدیریتی در دسترس بگذارید.
رمز root، رشته‌های SNMP و رمزهای تکراری را عوض کنید و سوئیچ در دسترس را افشاشده فرض کنید.
لاگ‌ها را برای ترافیک TFTP خروجی از سوئیچ بگردید.
در ارزیابی‌هایی که انجام داده‌ام، سوئیچ‌های دسترسی تقریباً همیشه آخرین تجهیزاتی هستند که کسی به‌روزشان می‌کند. نه عامل امنیتی رویشان نصب است و نه کسی لاگشان را نگاه می‌کند. وصله فقط یک گام است؛ شبکهٔ مدیریت جدا، رمزهای یکتا و پایش لاگ چیزی است که وقتی وصله ناقص از آب درمی‌آید، شما را نجات می‌دهد.
نسخهٔ کامل این مطلب همراه با چک‌لیست اقدام در این نشانی منتشر شده است؛ آن را در نوار آدرس مرورگر وارد کنید: symantecland.com/zyxel-gs1900
— کاظم مرتضوی، مشاور مستقل امنیت شبکه
