Zyxel ha corregido CVE-2026-107441, un fallo en la gestión web de diez modelos de conmutadores GS1900 que permite ejecutar comandos sin credenciales y que, según Binarly, se explotó como día cero contra 996 equipos. Si tienes alguno con firmware 2.90 Patch 2 o anterior, instala hoy el 2.90 Patch 3 y saca la gestión de redes no fiables.
Lo esencial
- Qué es: CVE-2026-107441 es una escritura fuera de límites en el programa CGI de la interfaz web de gestión. Un atacante sin credenciales y con acceso de red puede ejecutar comandos del sistema mediante peticiones HTTP manipuladas (BleepingComputer).
- Modelos afectados: GS1900-8, 8HP, 10HP, 16, 24, 24E, 24EP, 24HPv2, 48 y 48HPv2 con firmware 2.90 Patch 2 o anterior. La versión corregida es 2.90 Patch 3, por ejemplo 2.90(AAHL.3)C0 en el GS1900-24 (The Hacker News).
- Gravedad: Zyxel le da un CVSS de 8.8. Binarly lo puntúa con 9.8 y afirma que los comandos se ejecutan como root (SecurityWeek).
- La campaña: GreyNoise informó el 21 de septiembre de que un actor sospechoso de habla china, rastreado como Kapibala, comprometió 996 conmutadores en 48 países desde cerca del 17 de agosto. 564 de ellos seguían con las credenciales de fábrica.
- Fechas: el firmware corregido salió entre el 22 y el 23 de octubre (las fuentes discrepan en un día) y el aviso de Zyxel, el 3 de noviembre.
¿Me afecta si tengo un Zyxel en el armario de la oficina?
Si es un GS1900 de la lista y no has actualizado el firmware desde finales de octubre, sí. Son conmutadores gestionables de gama pyme, de los que se instalan en oficinas, tiendas y almacenes. Las fuentes no dan datos concretos sobre España.
El matiz está en quién llega a la interfaz de gestión. El aviso de Zyxel habla de un atacante «LAN» sin autenticar. Binarly sostiene que basta con alcanzar el servicio de gestión por red. En la práctica: si la gestión web es accesible desde internet, desde la Wi-Fi de invitados o desde cualquier red que no controlas, estás expuesto.
¿Por qué no me protegió el parche de junio?
Porque corregía otro fallo. La campaña de agosto se atribuyó a CVE-2026-7273, que CISA incluyó en su catálogo KEV el 21 de septiembre. Binarly confirmó el 28 de septiembre que el exploit funcionaba contra los diez firmwares ya parcheados para ese fallo (Patch 2). Avisó a Zyxel al día siguiente y Zyxel confirmó el nuevo fallo el 11 de octubre (SecurityWeek).
Hay un matiz: según The Hacker News, ni GreyNoise ni Binarly dicen que los conmutadores atacados llevaran el parche anterior. El aviso de Zyxel tampoco aclara si el nuevo fallo se ha explotado. Lo que sí está claro es que estar en Patch 2 no te protege de CVE-2026-107441.
¿Basta con actualizar?
No necesariamente. En la campaña, los atacantes se llevaron configuraciones, hashes de credenciales root e información de red. El aviso de Zyxel no aclara si actualizar elimina un acceso previo del atacante. Tampoco ofrece ninguna mitigación para quien no pueda actualizar. Y Binarly dice que publicará pronto una versión reducida del exploit como prueba de concepto, así que el margen se estrecha.
Qué hacer hoy
- Haz inventario. Localiza todos los GS1900 de tus sedes y anota modelo y versión de firmware. Si no lo sabes, pídeselo hoy a tu proveedor de IT o al instalador.
- Actualiza. Si el firmware es 2.90 Patch 2 o anterior, instala el 2.90 Patch 3 correspondiente a tu modelo exacto.
- Cierra la gestión web. Quítala de internet y de las redes de invitados o Wi-Fi. Limítala a una VLAN o a IP de administración concretas.
- Cambia credenciales. Elimina las contraseñas de fábrica. Si el equipo estuvo expuesto, cambia también las credenciales de administración y revisa la configuración en busca de cambios que no reconozcas.
- Si no puedes actualizar hoy, aísla la gestión de cualquier red no fiable. No hay mitigación oficial que te cubra.
Qué significa para una pyme
Un conmutador es el equipo que se instala una vez y nadie vuelve a mirar. Este caso muestra por qué eso sale caro. Quien parcheó en junio pensaba que estaba cubierto y no lo estaba. Y el dato que más pesa no es el CVSS: de 996 equipos comprometidos, 564 seguían con la contraseña de fábrica. El fallo abrió la puerta, pero la higiene básica la dejó de par en par.
Nuestra postura: trata los equipos de red como tratas los servidores. Inventario actualizado, firmware al día y gestión accesible solo desde una red de administración. Si la interfaz de gestión no se ve desde redes no fiables, un fallo como este pierde buena parte de su alcance, haya o no parche. Eso no sustituye a actualizar, pero te da margen la próxima vez que un parche llegue tarde o no sirva.
Si no tienes a nadie dentro que sepa qué hay en tu armario de red, este es buen momento para exigir a tu proveedor una lista por escrito con modelos, versiones y quién puede acceder a la gestión. Si necesitas ayuda para revisarlo, en ciberseguridad para pymes trabajamos justo eso.
Preguntas frecuentes
¿Estoy a salvo si ya instalé el parche de junio?
No. El 2.90 Patch 2 y las versiones anteriores siguen afectadas por CVE-2026-107441. Necesitas el 2.90 Patch 3 de tu modelo.
¿Hay alguna mitigación si no puedo actualizar?
Zyxel no ofrece ninguna. Lo razonable es aislar la gestión web de cualquier red no fiable y limitarla a una VLAN o IP de administración.
¿Actualizar expulsa a un atacante que ya hubiera entrado?
Las fuentes no lo aclaran. Si el equipo estuvo expuesto, cambia las credenciales de administración y revisa la configuración además de actualizar.
