Zyxel GS1900 : une faille zero-day contourne le correctif de juin, 90 commutateurs compromis en France

Les commutateurs Zyxel GS1900, présents dans de nombreuses petites entreprises en France, sont au coeur d’une campagne de piratage d’ampleur. Une nouvelle faille, la CVE-2026-107441, permet à un attaquant de prendre le contrôle de ces appareils et contourne le correctif publié par Zyxel en juin. Près de 1 000 commutateurs ont déjà été compromis dans 48 pays, dont 90 en France. Zyxel a publié un avis de sécurité le 3 novembre 2026 et un firmware corrigé est disponible depuis le 22 octobre.

Ce qui s’est passé

Tout a commencé à la mi-août 2026. Des chercheurs de GreyNoise, une société qui surveille les menaces sur internet, ont repéré une vague d’attaques visant les commutateurs manageables Zyxel GS1900. Les attaquants volaient la configuration des appareils et les empreintes des mots de passe administrateur. En septembre, GreyNoise comptait environ 996 commutateurs compromis dans 48 pays : 133 en Italie, 129 aux États-Unis, 123 à Taïwan et 90 en France, puis 69 en Corée du Sud et 66 aux Pays-Bas.

Le détail le plus inquiétant concerne les mots de passe. Sur les 996 commutateurs piratés, 564 utilisaient encore les identifiants d’usine, soit plus de la moitié. Dans de nombreux cas, les attaquants n’ont donc même pas eu besoin d’exploiter une faille : le mot de passe par défaut suffisait.

Un correctif de juin qui ne protégeait pas

En juin 2026, Zyxel avait déjà corrigé une première faille sur ces mêmes commutateurs, la CVE-2026-7273, un dépassement de mémoire dans l’interface web d’administration. De nombreux administrateurs pensaient leurs appareils protégés. Les chercheurs de Binarly ont pourtant démontré que le nouvel exploit fonctionnait sur les dix versions corrigées en juin : le correctif fermait une porte, mais les attaquants en utilisaient une autre, sur le même programme.

La nouvelle faille, CVE-2026-107441, est une écriture hors limites dans le programme dispatcher.cgi, qui traite les requêtes web de l’interface d’administration. Notée 8,8 sur 10 sur l’échelle CVSS, elle permet à un attaquant non authentifié, présent sur le réseau local, d’exécuter potentiellement des commandes sur le système. Binarly a découvert la faille en analysant un exploit déjà utilisé en conditions réelles. Zyxel a confirmé le problème le 11 octobre et publié les firmwares corrigés le 22 octobre.

Les chercheurs suivent cette campagne sous le nom de Kapibala, un groupe soupçonné d’être d’expression chinoise et rattaché à une campagne plus large baptisée Red Heron. Les attaques ont commencé autour du 17 août 2026. La première faille, CVE-2026-7273, a été inscrite le 21 septembre au catalogue KEV de l’agence américaine de cybersécurité CISA. La nouvelle faille n’y figurait pas encore au moment de l’avis Zyxel, mais les experts estiment la mise à jour urgente dans tous les cas.

Quels appareils sont concernés

Dix modèles de la série GS1900 sont concernés : les GS1900-8, 8HP, 10HP, 16, 24, 24E, 24EP, 24HPv2, 48 et 48HPv2. Les firmwares en version 2.90 avec l’extension .2 ou antérieure sont vulnérables. Le correctif porte la version 2.90 avec l’extension .3, par exemple 2.90(AAHH.3)C0 pour le GS1900-8. Seuls les modèles encore couverts par le support de vulnérabilités de Zyxel reçoivent un correctif.

Pour savoir si un commutateur est exposé, la première étape consiste à noter le modèle exact et le numéro de firmware affiché dans son interface d’administration. Un simple message indiquant que l’appareil est à jour ne suffit pas : c’est précisément cet affichage trompeur qui a piégé de nombreux administrateurs. Il faut comparer le numéro de version, chiffre par chiffre, avec le tableau publié par Zyxel.

Que faire maintenant

La priorité est d’installer le firmware corrigé du 22 octobre, téléchargé depuis le site ou le portail de Zyxel. La mise à jour de juin ne suffit pas : un appareil encore en version 2.90 avec l’extension .2 reste exposé. Zyxel ne propose pas de contournement, la mise à jour du firmware est le seul correctif.

Ensuite, remplacez les mots de passe par défaut sans délai : plus de la moitié des appareils compromis utilisaient encore les identifiants d’usine, et c’est le point le plus simple à corriger. Vérifiez aussi que l’interface d’administration n’est pas accessible depuis internet : dans l’idéal, elle reste isolée dans un réseau local dédié, par exemple un VLAN séparé, et n’est joignable que par les postes des administrateurs.

Enfin, tout commutateur exposé à internet ou à un réseau non fiable avant le correctif doit être considéré comme potentiellement compromis. Il faut alors changer les mots de passe, examiner la configuration et surveiller les journaux de connexion. Une réinitialisation complète suivie d’une reconfiguration propre reste la démarche la plus prudente.

Ce que cette affaire révèle

Cette campagne illustre un problème récurrent : un correctif publié en urgence peut donner un faux sentiment de sécurité si la faille n’a pas été complètement comprise. Ici, la première correction n’a pas empêché les attaques de continuer pendant des mois, sur des appareils que leurs propriétaires croyaient protégés. Les commutateurs restent en service pendant des années, et leurs mises à jour sont faciles à remettre à plus tard. Les attaquants le savent et ciblent ces équipements discrets, porte d’entrée vers le reste du réseau.

Pour les petites structures françaises qui utilisent un GS1900, le message est clair : vérifier le modèle et le numéro de firmware, installer la version .3 et changer les identifiants d’usine. Ces quatre gestes prennent moins d’une heure et ferment la porte à une campagne qui, selon les chercheurs, reste active.

Frequently Asked Questions

Qu’est-ce que la faille CVE-2026-107441 sur les commutateurs Zyxel GS1900 ?

C’est une écriture hors limites dans le programme dispatcher.cgi de l’interface web d’administration des commutateurs GS1900. Notée 8,8 sur 10, elle permet à un attaquant non authentifié sur le réseau local d’exécuter des commandes sur l’appareil. Zyxel a publié son avis le 3 novembre 2026.

Mon commutateur Zyxel GS1900 est-il concerné si j’ai installé la mise à jour de juin ?

Oui, c’est le piège de cette affaire. La mise à jour de juin corrigeait une première faille, la CVE-2026-7273, mais la nouvelle faille contourne ce correctif et fonctionne sur les dix versions corrigées en juin. Seul le firmware publié le 22 octobre, en version 2.90 avec l’extension .3, protège contre les deux failles.

Que risquent les 90 commutateurs compromis en France ?

Les attaquants ont volé la configuration des appareils et les empreintes des mots de passe administrateur, et un commutateur compromis peut servir de porte d’entrée vers le reste du réseau local. Il faut installer le firmware .3, changer les mots de passe d’usine, isoler l’interface d’administration et considérer comme suspect tout appareil exposé avant le correctif.