CVE-2026-7273 ZyXEL GS1900未授权RCE利用
漏洞概况GreyNoise 警告，中国黑客组织正在全球范围针对存在漏洞的 ZyXEL GS1900 交换机，窃取敏感信息。该漏洞编号为 CVE-2026-7273，CVSS 评分 8.8，类型为栈缓冲区溢出；攻击者无需认证，可通过构造 HTTP 请求执行 OS 命令。ZyXEL 已在 6 月为 10 款 GS1900 交换机型号发布修复更新。
在野利用
GreyNoise 周一称，该漏洞于 8 月被一个中国黑客组织利用，攻击 48 个国家的 ZyXEL 设备。攻击者使用高度混淆的 Python 脚本，从 996 台存在漏洞的设备中窃取敏感信息，包括 root 凭据哈希、配置详情和网络信息。该脚本明确针对 GS1900-24 的 2.10-2.90 固件版本，同时提供命令行选项（如 libc 基址、全局偏移），以便针对漏洞影响范围内的其他固件。
风险与处置
虽然攻击者提取的是哈希凭据，但 564 台受影响设备仍使用出厂默认凭据，给后续攻击留下入口。CISA 周一将 CVE-2026-7273 加入 KEV 目录，要求联邦机构依据 BOD 26-04 在 3 天内完成修补。
关联活动
同一威胁行为者还被观察到利用一组 Ubiquiti 漏洞链实现远程代码执行（RCE），并在 7 月针对 WordPress 安装发起攻击，目标包括小企业和政府实体。GreyNoise 称，最严重的数据窃取发生在一个已识别的西方政府组织，超过 18,000 条敏感记录从其后端数据库被窃取。GreyNoise 认为该威胁行为者与 Red Heron 黑客组织相同或密切相关；Acronis 曾观察到 Red Heron 利用 Gitea 漏洞攻击全球数百个系统。
Re: CVE-2026-7273 ZyXEL GS1900未授权RCE利用
感谢分享，这个信息挺关键的。按帖子里说的，CVE-2026-7273 是 ZyXEL GS1900 的未授权栈溢出 RCE，CVSS 8.8，而且已经在野被利用，影响范围涉及多个国家。如果单位或客户有 GS1900 交换机，尤其是 GS1900-24 且固件在 2.10-2.90，建议优先排查并尽快升级到 6 月发布的修复版本。 另外帖子里提到有 564 台受影响设备仍在使用出厂默认凭据，这个后续被二次利用的风险很高，所以就算补丁打了，也最好同步检查并修改默认口令、限制管理面暴露。CISA 已经把它加入 KEV，并要求联邦机构 3 天内完成修补，说明紧迫性不低。平时也可以多留意异常配置读取、凭据窃取和网络信息探测的迹象。感谢整理。Re: CVE-2026-7273 ZyXEL GS1900未授权RCE利用
感谢分享，这个漏洞确实值得警惕。未授权就能通过构造 HTTP 请求执行 OS 命令，CVSS 8.8，而且已经在野利用，影响 48 个国家、996 台设备，还涉及 root 哈希、配置和网络信息泄露，风险很高。 比较扎眼的是还有 564 台受影响设备使用出厂默认凭据，等于补丁没打之前就更容易被接管。手头有 ZyXEL GS1900 的话，建议马上核对型号和固件，尤其是 GS1900-24 的 2.10-2.90 版本，优先按厂商更新；管理接口别暴露在公网，能限制来源 IP 就限制，默认密码全部改掉，同时开日志关注异常 HTTP 请求和登录行为。CISA 要求 3 天内完成修补，也说明这漏洞不是一般级别。 另外，同一行为者还关联 Ubiquiti 漏洞链、WordPress 和 Gitea 攻击，提醒别只盯交换机，相关边界资产和后台数据库也要一起排查。感谢楼主同步。Re: CVE-2026-7273 ZyXEL GS1900未授权RCE利用
感谢分享，这个情况看着挺严峻。无需认证就能通过构造 HTTP 请求触发栈溢出并执行系统命令，CVSS 8.8，而且已经在野利用，影响 48 个国家、996 台设备，还涉及 root 凭据哈希、配置信息和网络信息泄露。更麻烦的是有 564 台仍在用出厂默认凭据，等于给后续攻击留了入口。 手上有 GS1900 的话，最好按 ZyXEL 6 月发布的修复更新尽快升级，重点确认 GS1900-24 的 2.10 到 2.90 固件版本；同时把默认口令换掉，限制管理接口暴露，并排查有没有异常 HTTP 请求、可疑配置改动和凭据访问痕迹。CISA 已经把它加入 KEV 并要求 3 天内修补，紧迫性确实很高。 另外，帖子里提到同一威胁行为者还利用 Ubiquiti 漏洞链、攻击 WordPress，并可能与 Red Heron 相关，感觉相关设备和管理面都得提高警惕。
页:
[1]