Zyxel, GS1900 serisi ağ anahtarlarında saldırganların kimlik doğrulaması olmadan uzaktan komut çalıştırmasına olanak tanıyan CVE-2026-107441 güvenlik açığını giderdi. GreyNoise araştırmacılarına göre Kapibala adlı tehdit aktörü, söz konusu açıktan yararlanarak 48 ülkede 996 cihazı ele geçirdi ve yapılandırma dosyalarıyla kimlik bilgilerini topladı. Şirket, yeni güvenlik güncellemelerini 22 Ekim 2026’da yayınlarken yöneticilere etkilenen cihazların ürün yazılımlarını güncelleme çağrısı yaptı.
Zyxel GS1900 Serisi Ağ Anahtarları Saldırıların Hedefi Oldu
Zyxel’in GS1900 serisi ağ anahtarlarında bulunan güvenlik açığı, cihazların web yönetim arayüzündeki bellek yazma hatasından kaynaklanıyor. Sınır dışı yazma (out-of-bounds write) olarak tanımlanan hata, ağ erişimi bulunan saldırganların özel hazırlanmış HTTP istekleri göndererek işletim sistemi komutlarını çalıştırmasına izin veriyor. Saldırganların bu işlemi gerçekleştirmek için cihazda önceden oturum açması gerekmiyor.
Güvenlik açığı CVE-2026-107441 koduyla takip ediliyor ve GS1900 ailesindeki 10 farklı modeli etkiliyor. Zyxel, sorunu 11 Ekim’de doğruladıktan sonra 22 Ekim’de yeni ürün yazılımı güncellemelerini yayınladı. Şirket, güvenlik duyurusunu ise 3 Kasım’da paylaştı.
Saldırıların geçmişi, aynı ürün ailesini etkileyen daha eski bir güvenlik sorununa uzanıyor. Zyxel, 16 Haziran 2026’da CVE-2026-7273 kodlu, kimlik doğrulaması öncesinde bellek taşmasına yol açabilen başka bir açığı kapatmıştı. Ancak saldırganların daha sonra gerçekleştirdiği operasyonlarda bu düzeltmenin yeterli olmadığı ortaya çıktı.
Siber güvenlik şirketi GreyNoise, 17 Ağustos 2026 civarında Zyxel ağ anahtarlarını hedef alan şüpheli saldırıları gözlemledi. Araştırmacılar, Çince konuşan bir tehdit aktörünü Kapibala adıyla takip etti. Yapılan incelemelerde saldırganların 48 ülkede toplam 996 cihazı ele geçirdiği belirlendi.
Saldırganlar, güvenlik açığından yararlanarak ağ anahtarlarında uzaktan komut çalıştırdı. Ardından cihazlara bir betik indirerek yapılandırma dosyalarını, özetlenmiş root parolalarını ve ağ bilgilerini topladı. Elde edilen veriler, saldırganların ele geçirdikleri cihazların yönetim bilgilerine ve ağ yapısına erişim sağlamasına yardımcı olabiliyor.
GreyNoise, Kapibala faaliyetlerini daha önce Acronis tarafından incelenen Red Heron saldırı kampanyasıyla ilişkilendirdi. Söz konusu kampanyada saldırganların kendi sunucularında barındırılan Gitea hizmetindeki kritik bir güvenlik açığından da yararlandığı bildirilmişti.
GreyNoise, 21 Eylül’de saldırı kampanyasını kamuoyuna duyurduğunda istismarların Zyxel’in haziran ayında yamaladığı CVE-2026-7273 açığını kullandığını değerlendirmişti. Aynı gün ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), söz konusu açığı Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi. Bu karar, federal kurumların ilgili güvenlik sorununu belirlenen süre içinde gidermesini gerektiriyordu.
Firmware güvenliği üzerine çalışan Binarly araştırmacıları, saldırıların gerçekte daha önce bilinmeyen farklı bir güvenlik açığından yararlandığını ortaya çıkardı. Araştırmacılar, Red Heron altyapısıyla bağlantılı JITTERLY arka kapısı ve SIXZUT rootkit yazılımını incelerken Zyxel GS1900 cihazlarını hedef alan gizlenmiş bir Python istismar betiğinin bulunduğu açık bir arşive ulaştı.
Betik üzerinde yapılan analiz, saldırının haziran ayında yayınlanan CVE-2026-7273 düzeltmesini içeren ürün yazılımı sürümlerini özellikle kontrol ettiğini gösterdi. Binarly, 28 Eylül’de gerçekleştirdiği testlerde istismar yönteminin eski güvenlik açığı için güncellenmiş 10 ürün yazılımı sürümünün tamamında çalıştığını doğruladı.
Araştırmacılar, haziran ayındaki güvenlik güncellemesinin bellek taşmasını önlemek için bazı kontroller eklediğini ancak saldırganların bu kontrolleri aşabildiğini belirledi. Saldırganlar, doğrulama işlemi tamamlanmadan önce HTTP parametre sayacını değiştirerek bellek yazma hatasını tetikleyebiliyordu. Böylece önceki güvenlik güncellemesini yükleyen cihazlarda bile kimlik doğrulaması olmadan komut çalıştırılabiliyordu.
Binarly, bulgularını 29 Eylül’de Zyxel’e bildirdi. Şirket, 11 Ekim’de sorunu doğrulayarak CVE-2026-107441 numarasını verdi. Zyxel, yeni açığı haziran ayında kapatılan sorundan ayrı değerlendirdi. Yeni güvenlik sorununun temelinde HTTP parametre uzunluklarının yeterince doğrulanmaması da bulunuyordu.
Zyxel, 22 Ekim’de yayınladığı güvenlik güncellemeleriyle saldırı yöntemini engelleyen değişiklikleri devreye aldı. Yeni sürümler, HTTP parametrelerinin boyutlarını sınırlandırıyor ve veriler belleğe kopyalanmadan önce parametre sayısını doğruluyor. Böylece saldırganların önceki güvenlik kontrollerini aşarak bellek alanının üzerine yazması önleniyor.
Araştırmacılar, ele geçirilen istismar betiğinin özellikle CVE-2026-7273 için güncellenmiş ürün yazılımı sürümlerini hedeflediğini doğruladı. Ancak saldırganların yeni açığı önceki yamayı bilinçli biçimde aşmak için mi geliştirdiği, yoksa ilk düzeltmenin gözden kaçırdığı bağlantılı bir hatadan mı yararlandığı kesinleşmiş değil.
Zyxel GS1900 serisi cihazları yöneten kurumların CVE-2026-107441 riskine karşı en son ürün yazılımı güncellemelerini yüklemesi gerekiyor. Ağ anahtarları, kurumsal ağ trafiğinin yönetiminde önemli rol oynadığı için bu cihazların ele geçirilmesi yalnızca tek bir donanımı değil, bağlantılı sistemlerin güvenliğini de etkileyebiliyor.
