Faille Zyxel GS1900 : switch encore exposé ?

Name: SOSPC82
Address: La Garenne-Colombes, Île-de-France, 92250, FR
Telephone: 07 69 36 92 60
Price range: €€

Switch réseau avec câbles Ethernet branchés, illustrant la faille Zyxel GS1900

Réponse courte : la faille Zyxel GS1900 (CVE-2026-107441) permet à un attaquant présent sur le réseau local, sans mot de passe, d’exécuter des commandes sur le switch. Elle touche dix modèles, y compris ceux déjà corrigés en juin. Seule parade officielle : installer le firmware 2.90 Patch 3, publié le 23 octobre 2026.

Le 3 novembre 2026, Zyxel a publié un avis de sécurité sur une nouvelle faille Zyxel GS1900. Le même jour, la société Binarly a expliqué que les attaques de l’été contre près de 1 000 switches de cette gamme n’exploitaient pas la faille connue, mais une faille inconnue jusque-là. En clair : des PME qui avaient fait leurs mises à jour en juin pensaient être protégées. Elles ne l’étaient pas.

Que s’est-il passé avec les switches Zyxel GS1900 ?

Un premier correctif n’a pas suffi : les attaquants passaient par une autre faille, corrigée seulement fin octobre.

Voici la chronologie, reconstituée à partir de l’avis Zyxel et des articles de SecurityWeek, The Hacker News et BleepingComputer :

16 juin 2026 : Zyxel corrige une première faille, CVE-2026-7273 (dépassement de tampon dans le programme CGI de l’interface web). Correctif : firmware 2.90 Patch 2.
Août 2026 : des switches GS1900 sont compromis et des données sont extraites.
21 septembre 2026 : GreyNoise signale l’exploitation de 996 switches Zyxel dans 48 pays, attribuée à un acteur présumé sinophone. Le même jour, l’agence américaine CISA ajoute CVE-2026-7273 à son catalogue des failles activement exploitées.
29 septembre 2026 : Binarly, qui a analysé les outils des attaquants, prévient Zyxel. L’exploit visait en réalité une autre faille, et le Patch 2 ne le bloquait pas.
23 octobre 2026 : Zyxel diffuse le firmware 2.90 Patch 3.
3 novembre 2026 : publication de l’avis officiel pour CVE-2026-107441.

Quelle est la gravité de la faille CVE-2026-107441 ?

Elle est classée « haute », avec un score CVSS de 8,8 sur 10.

Il s’agit d’une écriture hors limites (out-of-bounds write) dans le programme CGI qui gère l’interface d’administration web du switch. D’après Zyxel, un attaquant « basé sur le réseau local » et non authentifié peut exécuter des commandes système via une simple requête HTTP piégée. The Hacker News précise que ces commandes s’exécutent avec les droits root, c’est-à-dire avec un contrôle total de l’équipement.

Pourquoi c’est sérieux pour une PME : le switch est le cœur du réseau. Un switch compromis peut servir de point d’appui discret pour observer le trafic, rebondir vers les postes et les serveurs, ou rester en place des mois sans que personne ne le remarque. Personne n’installe d’antivirus sur un switch.

Le vecteur « réseau local » rassure à tort. Un poste infecté par un simple e-mail piégé, un Wi-Fi invité mal cloisonné ou une interface d’administration exposée sur Internet suffisent à mettre l’attaquant en position.

Quels modèles sont concernés et quelle version installer ?

Dix modèles GS1900 sont touchés : toutes les versions 2.90 « .2 » et antérieures sont vulnérables, la version « .3 » corrige le problème.

Modèle	Vulnérable jusqu’à	Version corrigée
GS1900-8	2.90(AAHH.2)C0	2.90(AAHH.3)C0
GS1900-8HP	2.90(AAHI.2)C0	2.90(AAHI.3)C0
GS1900-10HP	2.90(AAZI.2)C0	2.90(AAZI.3)C0
GS1900-16	2.90(AAHJ.2)C0	2.90(AAHJ.3)C0
GS1900-24	2.90(AAHL.2)C0	2.90(AAHL.3)C0
GS1900-24E	2.90(AAHK.2)C0	2.90(AAHK.3)C0
GS1900-24EP	2.90(ABTO.2)C0	2.90(ABTO.3)C0
GS1900-24HPv2	2.90(ABTP.2)C0	2.90(ABTP.3)C0
GS1900-48	2.90(AAHN.2)C0	2.90(AAHN.3)C0
GS1900-48HPv2	2.90(ABTQ.2)C0	2.90(ABTQ.3)C0

Point clé : la version « .2 », celle qui corrigeait la faille de juin, figure dans la colonne vulnérable. Si vous avez patché cet été, vous devez patcher à nouveau.

Que faire concrètement si vous avez un switch GS1900 ?

Mettez à jour vers le Patch 3, puis vérifiez que le switch n’a pas déjà été compromis.

L’avis Zyxel ne propose aucune solution de contournement : la mise à jour est la seule mesure officielle. Voici la marche à suivre que nous appliquons chez nos clients :

Inventoriez : repérez tous les switches Zyxel, y compris celui oublié dans la baie ou sous un bureau. Notez le modèle exact et la version de firmware (menu d’administration web, page d’état du système).
Téléchargez le firmware uniquement depuis le site officiel Zyxel, en vérifiant qu’il correspond bien à votre modèle (le code entre parenthèses, par exemple AAHL pour le GS1900-24).
Sauvegardez la configuration du switch avant toute mise à jour.
Planifiez une courte coupure : le switch redémarre, tout le réseau qui en dépend est interrompu quelques minutes.
Installez le Patch 3, puis contrôlez que la version affichée se termine bien par « .3)C0 ».
Changez le mot de passe administrateur s’il s’agit encore de celui d’origine ou s’il est partagé.
Restreignez l’accès à l’interface d’administration : jamais exposée sur Internet, accessible seulement depuis un poste ou un VLAN d’administration dédié.
Cherchez des signes de compromission : comptes inconnus, configuration modifiée, redémarrages inexpliqués, trafic sortant inhabituel depuis l’adresse du switch. Au moindre doute, traitez l’incident comme tel.

Attention : l’avis Zyxel ne précise pas si la mise à jour supprime un accès déjà installé par un attaquant. Sur un switch suspect, une réinitialisation complète suivie d’une reconfiguration propre est plus sûre qu’une simple mise à jour.

Pourquoi un correctif peut-il ne pas suffire ?

Parce qu’un correctif répond à la faille décrite, pas forcément à la façon dont les attaquants opèrent réellement.

Ici, les attaques ont d’abord été rattachées à la faille de juin. Les entreprises qui avaient appliqué le Patch 2 se croyaient à l’abri. Binarly a montré que l’exploit fonctionnait toujours sur ce Patch 2. Il a fallu plus de trois mois entre les premières compromissions et l’avis officiel.

La leçon dépasse Zyxel : « patché » ne veut pas dire « sécurisé ». Il faut suivre les révisions des avis, revenir sur les équipements déjà traités, et surveiller les comportements anormaux plutôt que de se fier à un numéro de version.

L’avis de l’expert

Dans les grands comptes où j’ai piloté le patch management, comme la RATP, la Société Générale ou LVMH, les équipements réseau sont suivis avec la même rigueur que les postes Windows : inventaire à jour, veille sur les avis éditeurs, fenêtres de maintenance planifiées. Dans les PME, c’est l’inverse. Le switch est installé une fois, puis oublié pendant des années.

Cette affaire Zyxel illustre trois réflexes que j’applique à toutes les PME que j’accompagne. Un : l’inventaire inclut tout ce qui a une adresse IP, pas seulement les ordinateurs. Deux : un correctif appliqué n’est jamais clos définitivement, on y revient quand l’éditeur révise son avis. Trois : les interfaces d’administration ne sont jamais accessibles depuis le réseau des utilisateurs, et encore moins depuis Internet. Ces trois mesures ne coûtent presque rien et auraient fortement limité l’impact de cette campagne.

Et pour les PME du 92 ?

Les switches GS1900 sont très répandus dans les petites structures : cabinets, agences, commerces, professions libérales. Ils sont abordables, souvent alimentés en PoE pour les caméras et les téléphones IP, et installés par un prestataire qui n’est plus là pour les suivre.

À La Garenne-Colombes, Courbevoie, Nanterre, Levallois ou Puteaux, nous intervenons sur site pour inventorier vos équipements réseau, appliquer le Patch 3 en dehors de vos heures d’activité et contrôler l’absence de compromission. Pour les particuliers qui utilisent un switch Zyxel à la maison, souvent pour du multimédia ou du télétravail, la mise à jour est tout aussi nécessaire, et nous pouvons la réaliser lors d’un dépannage à domicile.

Questions fréquentes

Mon switch Zyxel GS1900 est-il vulnérable ?

Oui, si son firmware est en version 2.90 « .2 » ou antérieure. Les dix modèles GS1900 listés par Zyxel sont concernés. Seule la version 2.90 « .3 » (Patch 3) corrige la faille CVE-2026-107441.

J’ai déjà fait la mise à jour en juin, suis-je protégé ?

Non. Le correctif de juin (Patch 2) traitait la faille CVE-2026-7273, mais il ne bloque pas la nouvelle faille. Vous devez installer le Patch 3.

La faille est-elle exploitable depuis Internet ?

Zyxel parle d’un attaquant situé sur le réseau local. Mais un poste infecté, un Wi-Fi mal cloisonné ou une interface d’administration exposée suffisent à donner cet accès. Ne prenez donc pas ce critère comme une garantie.

Existe-t-il une solution si je ne peux pas mettre à jour tout de suite ?

Zyxel n’indique aucun contournement officiel. En attendant, limitez l’accès à l’interface web du switch à un seul poste d’administration et surveillez son activité. Planifiez la mise à jour au plus vite.

Comment savoir si mon switch a été piraté ?

Cherchez des comptes ou des réglages que vous n’avez pas créés, des redémarrages inexpliqués et du trafic sortant inhabituel. En cas de doute, faites appel à un professionnel pour une analyse et une remise à zéro propre de l’équipement.

En résumé

La faille CVE-2026-107441 (CVSS 8,8) permet de prendre le contrôle des switches Zyxel GS1900 sans mot de passe, depuis le réseau local.
Le correctif de juin ne suffit pas : seul le firmware 2.90 Patch 3, version « .3)C0 », protège les dix modèles concernés.
Mettez à jour, changez le mot de passe administrateur, isolez l’interface d’administration et vérifiez l’absence de compromission.

Vous ne savez pas quels équipements tournent sur votre réseau, ni s’ils sont à jour ? Notre service de gestion des correctifs couvre aussi les switches, routeurs et pare-feu. Pour un suivi complet, découvrez notre infogérance PME (Essentiel 19,99 €, Sérénité 39,99 €, Premium 79,99 € HT par poste et par mois) ou demandez un audit cybersécurité PME. Un doute sur un équipement déjà compromis ? Notre équipe de réponse à incident intervient 24 h/24 et 7 j/7 dans les Hauts-de-Seine. Appelez le 07 69 36 92 60, devis gratuit sous 24 h.

Article rédigé par Kevin Aquino, Technical Lead patch management et fondateur de SOSPC82.

Sources :

Faille Zyxel GS1900 : votre switch est-il encore exposé ?