สวิตช์ Zyxel GS1900 มีช่องโหว่ถูกใช้โจมตีจริง แพตช์เดิมกันไม่อยู่ ต้องอัปเดตเฟิร์มแวร์ใหม่
Zyxel ออกเฟิร์มแวร์แก้ CVE-2026-107441 ในสวิตช์ GS1900 หลัง Binarly พบโค้ดเจาะที่แฮกเกอร์ใช้จริง และเจาะได้แม้เครื่องลงแพตช์รอบเดือนมิถุนายนแล้ว
นักวิจัยจากบริษัท Binarly เจอไฟล์โค้ดเจาะชื่อ "Zyxel GS1900 Pre-Auth RCE" วางอยู่ในเซิร์ฟเวอร์ควบคุมของมัลแวร์ที่พวกเขาติดตามอยู่ เมื่อนำไปทดลองกับสวิตช์ของจริงพบว่าใช้ได้ผลแม้กับเครื่องที่ลงเฟิร์มแวร์แก้ช่องโหว่ CVE-2026-7273 ไปแล้วเมื่อเดือนมิถุนายน เพราะโค้ดนี้โจมตีจุดบกพร่องอีกจุดหนึ่ง ทีมวิจัยยังประเมินว่าโค้ดเจาะชิ้นนี้น่าจะเขียนขึ้นด้วย AI
ช่องโหว่ใหม่ได้รหัส CVE-2026-107441 คะแนนความรุนแรง 8.8 อยู่ในโปรแกรมหน้าเว็บตั้งค่าของสวิตช์ ซึ่งไม่ตรวจขนาดและจำนวนข้อมูลที่ส่งเข้ามา ผู้โจมตีที่อยู่ในเครือข่ายเดียวกันจึงส่งคำขอที่ปั้นมาเป็นพิเศษ แล้วสั่งรันคำสั่งบนสวิตช์ได้โดยไม่ต้องล็อกอิน รุ่นที่ได้รับผลกระทบมี GS1900-8, 8HP, 10HP, 16, 24, 24E, 24EP, 24HPv2, 48 และ 48HPv2 ที่ใช้เฟิร์มแวร์ 2.90(xxxx.2)C0 หรือเก่ากว่า
สวิตช์รุ่นนี้เคยถูกโจมตีเป็นวงกว้างมาแล้ว โดย GreyNoise รายงานเมื่อเดือนกันยายนว่ามีผู้ขโมยข้อมูลการตั้งค่าและรหัสผ่านที่เข้ารหัสไว้จากสวิตช์ GS1900 ราว 996 เครื่องใน 48 ประเทศ และกว่าครึ่งยังใช้รหัสผ่านค่าเริ่มต้นจากโรงงาน ตอนนั้นหลายองค์กรเข้าใจว่าลงแพตช์แล้วปลอดภัย แต่ข้อมูลใหม่นี้ชี้ว่าเครื่องเหล่านั้นยังเปิดช่องอยู่
Zyxel ประกาศคำแนะนำด้านความปลอดภัยเมื่อ 3 พ.ย. 2569 พร้อมเฟิร์มแวร์รุ่นที่ลงท้ายด้วย .3 สำหรับทุกรุ่นที่อยู่ในระยะสนับสนุน Binarly ยืนยันว่าเฟิร์มแวร์ใหม่ปิดจุดบกพร่องนี้ได้จริง สวิตช์ตระกูลนี้นิยมใช้ในสำนักงานขนาดเล็กถึงกลาง ร้านค้า และโรงเรียน ผู้ดูแลระบบในไทยจึงควรตรวจเครื่องของตัวเอง
ควรทำอะไร
- เช็กรุ่นและเวอร์ชันเฟิร์มแวร์ของสวิตช์ Zyxel GS1900 ทุกตัว ถ้าลงท้าย .2 หรือเก่ากว่า ให้อัปเดตเป็นรุ่น .3 ตามตารางของ Zyxel
- จำกัดหน้าเว็บตั้งค่าของสวิตช์ให้เข้าได้เฉพาะจาก VLAN สำหรับผู้ดูแล ไม่เปิดสู่เครือข่ายทั่วไปหรืออินเทอร์เน็ต
- เปลี่ยนรหัสผ่านค่าเริ่มต้นจากโรงงาน
- ถ้าเครื่องเคยเปิดหน้าเว็บตั้งค่าให้เข้าถึงได้กว้างก่อนอัปเดต ให้ถือว่าอาจถูกเจาะแล้ว ตรวจการตั้งค่าและเปลี่ยนรหัสผ่านทั้งหมด