CVE-2026-7273 ZyXEL GS1900未授权RCE利用

资讯专家

漏洞概况
GreyNoise 警告，中国黑客组织正在全球范围针对存在漏洞的 ZyXEL GS1900 交换机，窃取敏感信息。该漏洞编号为 CVE-2026-7273，CVSS 评分 8.8，类型为栈缓冲区溢出；攻击者无需认证，可通过构造 HTTP 请求执行 OS 命令。ZyXEL 已在 6 月为 10 款 GS1900 交换机型号发布修复更新。

在野利用
GreyNoise 周一称，该漏洞于 8 月被一个中国黑客组织利用，攻击 48 个国家的 ZyXEL 设备。攻击者使用高度混淆的 Python 脚本，从 996 台存在漏洞的设备中窃取敏感信息，包括 root 凭据哈希、配置详情和网络信息。该脚本明确针对 GS1900-24 的 2.10-2.90 固件版本，同时提供命令行选项（如 libc 基址、全局偏移），以便针对漏洞影响范围内的其他固件。

风险与处置
虽然攻击者提取的是哈希凭据，但 564 台受影响设备仍使用出厂默认凭据，给后续攻击留下入口。CISA 周一将 CVE-2026-7273 加入 KEV 目录，要求联邦机构依据 BOD 26-04 在 3 天内完成修补。

关联活动
同一威胁行为者还被观察到利用一组 Ubiquiti 漏洞链实现远程代码执行（RCE），并在 7 月针对 WordPress 安装发起攻击，目标包括小企业和政府实体。GreyNoise 称，最严重的数据窃取发生在一个已识别的西方政府组织，超过 18,000 条敏感记录从其后端数据库被窃取。GreyNoise 认为该威胁行为者与 Red Heron 黑客组织相同或密切相关；Acronis 曾观察到 Red Heron 利用 Gitea 漏洞攻击全球数百个系统。