CISA confirma explotación de CVE-2026-7273 tras el compromiso de 996 switches Zyxel

CISA añadió el 21 de septiembre de 2026 CVE-2026-7273 a su catálogo de vulnerabilidades explotadas. La falla de desbordamiento de búfer afecta al programa CGI de los switches Zyxel GS1900 y permite que un atacante sin autenticación, con alcance a la interfaz de administración desde la red local, ejecute comandos del sistema operativo mediante una solicitud HTTP manipulada.

La confirmación oficial llegó después de que GreyNoise publicara evidencia de una operación activa atribuida con cautela a un actor de habla china. La investigación registró explotación desde el 17 de agosto y exfiltración de configuraciones, datos de red y hashes de credenciales con privilegios root en 996 switches de 48 países. GreyNoise indicó que 564 de los equipos observados conservaban credenciales predeterminadas.

Zyxel asignó a la vulnerabilidad una puntuación CVSS 3.1 de 8,8. El requisito de acceso desde una red adyacente reduce la exposición frente a una falla explotable directamente desde Internet, pero no elimina el riesgo: un endpoint comprometido, una red inalámbrica insegura o una mala segmentación pueden dar al atacante la ruta necesaria hacia la interfaz web del switch.

Un switch administrable comprometido ocupa una posición privilegiada dentro de la red. La pérdida de sus configuraciones y credenciales puede facilitar persistencia, reconocimiento y movimiento lateral, además de exponer parámetros de segmentación y administración que normalmente quedan fuera de la telemetría de los agentes EDR.

La actualización debe acompañarse de una revisión de compromiso porque el parche evita nuevas intrusiones, pero no elimina accesos persistentes ni revierte cambios realizados antes de instalarlo. Las organizaciones deben tratar los switches como activos críticos y no como dispositivos de configuración estática.

El caso muestra un desfase frecuente en la gestión de infraestructura: el parche estaba disponible desde el 16 de junio, pero la explotación masiva se documentó tres meses después. Inventariar y actualizar switches con el mismo rigor que servidores y firewalls reduce ese intervalo y evita que dispositivos sin agente se conviertan en puntos ciegos de respuesta a incidentes.