Switches Zyxel GS1900: nuevo parche para la falla que, según Binarly, usaron en ataques

Si en tu oficina, tu comercio o la escuela hay un switch Zyxel GS1900 (los «Smart Managed» de 8 a 48 puertos que suelen vivir en el rack o debajo del escritorio), tenés que actualizarle el firmware otra vez. El 3 de noviembre de 2026, Zyxel publicó un aviso de seguridad por la falla CVE-2026-107441, que según el fabricante puede permitir que alguien sin usuario ni contraseña, conectado a la red local, ejecute comandos en el switch con una petición web armada. Zyxel la califica con 8,8 sobre 10 (alta).

Qué hacer hoy: fijate el modelo exacto de tu switch (viene impreso en el frente del equipo, por ejemplo «GS1900-24») y la versión de firmware que tiene instalada, que se ve en su página de administración web. Si la versión termina en «.2)C0» o es anterior, bajá la que termina en «.3)C0» para tu modelo desde la biblioteca de descargas de Zyxel (se busca por número de modelo) e instalala. La tabla de abajo tiene la versión exacta para cada uno.

Lo que la vuelve más seria no lo dice Zyxel, sino Binarly, la empresa que la encontró: según su investigación, el exploit de la campaña que GreyNoise documentó contra 996 switches GS1900 en 48 países apuntaba a esta falla, y seguía funcionando contra el firmware que Zyxel había publicado en junio para tapar otra, la CVE-2026-7273. O sea, según Binarly: si actualizaste en junio o en septiembre, ese parche no frenaba este ataque.

Modelos afectados y versión que tenés que instalar

Dos aclaraciones del propio aviso: Zyxel dice que los productos en venta que no figuran en la tabla no están afectados, y que publicó parches para los modelos que siguen dentro de su período de soporte de vulnerabilidades. Si tu switch es un GS1900 más viejo que no aparece en la lista, el aviso no dice nada de él, y nuestra lectura es que un equipo sin soporte no va a recibir este arreglo: ahí la conversación es de reemplazo, no de parche.

Una medida general, que es nuestra y no de Zyxel: como el aviso describe a un atacante dentro de la red, conviene que la página de administración del switch no quede accesible desde internet ni desde la red wifi de invitados o clientes. No reemplaza al parche, pero achica la lista de quién puede intentarlo.

Por qué el parche de junio no alcanzó

La historia tiene un giro de guion digno de serie de sobremesa. Según la cronología que publicó Binarly:

• 16 de junio: Zyxel publica el aviso y el arreglo de CVE-2026-7273, un desbordamiento de búfer en los mismos switches.
• Alrededor del 17 de agosto: según GreyNoise, un atacante se lleva configuraciones, hashes de las credenciales de root e información de red de 996 GS1900.
• 21 de septiembre: GreyNoise atribuye esos ataques a CVE-2026-7273, y ese mismo día la agencia de ciberseguridad de Estados Unidos (CISA) la suma a su catálogo de fallas explotadas, con la recomendación de actualizar.
• 28 de septiembre: Binarly confirma que el exploit de los atacantes funciona contra las diez versiones que ya traían el arreglo de junio. Según Binarly, el exploit traía configuración para atacar el firmware ya parchado del GS1900-24, la 2.90(AAHL.2)C0.
• 11 de octubre: Zyxel confirma que es una falla nueva; el 22 de octubre publica el firmware corregido, y el 3 de noviembre, el aviso.

Binarly agrega un detalle de época: cree que el exploit fue escrito con ayuda de un modelo de IA. BleepingComputer, que contó la historia, aclara que no está claro si el exploit se hizo a propósito para saltar el parche de junio o si aprovechó una falla vecina que ese parche no cubrió. Para tu switch, el resultado es el mismo: la versión que vale es la .3.

Qué dice cada fuente, y qué no

Conviene separar las voces, porque no dicen lo mismo:

• Zyxel confirma la falla, los modelos y las versiones corregidas, y le agradece el hallazgo a un investigador de Binarly. Su aviso no menciona ataques.
• Binarly es la que sostiene que esta falla es la que se usó en la campaña contra los GS1900, y la describe como un día cero.
• CISA tiene en su catálogo de fallas explotadas a la CVE-2026-7273 desde el 21 de septiembre, pero no a la CVE-2026-107441, y el análisis que agregó el 4 de noviembre al registro de la nueva marca su explotación como «none» (ninguna). Eso dice lo que CISA registró hasta ahora, no que los ataques no hayan existido.

Cuánto alcanzó la campaña, y América Latina

Según la tabla por país de GreyNoise, los 996 switches se reparten sobre todo entre Italia (133), Estados Unidos (129), Taiwán (123) y Francia (90). En América Latina figuran 2 en Panamá, 1 en Colombia y 1 en Costa Rica, más 5 en Guadalupe y Martinica, en el Caribe francés. Que tu país no aparezca no significa que tu switch esté a salvo: significa que ese atacante, en ese momento, no llegó ahí. Con el firmware viejo, la puerta sigue igual de abierta.

Fuentes

• Zyxel, «Zyxel security advisory for out-of-bounds write vulnerability in GS1900 series switches» (en inglés), 3 de noviembre de 2026. Modelos, versiones y descripción de la falla.
• Registro de CVE-2026-107441 (en inglés), publicado por Zyxel el 3 de noviembre de 2026, con el puntaje de gravedad y el enriquecimiento de CISA.
• Binarly, «New Zyxel GS1900 pre-auth RCE vulnerability revealed» (en inglés), 3 de noviembre de 2026. Cronología y relación con la campaña.
• GreyNoise, «Open Season on Kapibala» (en inglés), 21 de septiembre de 2026. Los 996 switches y su reparto por país.
• CISA, alerta del 21 de septiembre de 2026 (en inglés) y catálogo de vulnerabilidades explotadas.
• BleepingComputer, «Zyxel fixes zero-day exploited to hack nearly 1,000 network switches» (en inglés), 4 de noviembre de 2026.
• Créditos de imagen: la portada y la cronología son fotomontajes editoriales asistidos por IA sobre la foto oficial de producto de la serie GS1900 y el logo oficial de Zyxel Networks, publicados por Zyxel.