IT / Télécom
Commutateurs Zyxel GS1900 : le correctif de juin ne suffisait pas, repassez par la case mise à jour
Si vous avez mis à jour vos commutateurs Zyxel GS1900 cet été après l’alerte sur la faille CVE-2026-7273, bravo… mais ce n’est pas fini. Le 3 novembre 2026, Zyxel a publié un nouvel avis pour une autre faille critique, CVE-2026-107441, découverte par les chercheurs de Binarly. Et cette fois, le contexte rend la mise à jour franchement urgente.
Petit retour en arrière
En septembre, GreyNoise a révélé une campagne lancée vers la mi-août contre les GS1900 : configurations, informations réseau et empreintes du mot de passe root dérobées sur 996 commutateurs dans 48 pays, dont plusieurs pays européens. Environ 564 de ces appareils avaient encore leurs identifiants d’usine. La faille désignée était CVE-2026-7273, corrigée par Zyxel dès juin.
Le rebondissement : selon Binarly, l’exploit utilisé ne visait pas CVE-2026-7273, mais une autre faille passée inaperçue dans la première analyse. Les sources publiques ne permettent pas d’établir quelle faille a servi sur chaque victime. Une chose est sûre : un commutateur mis à jour en juin restait exposé à cette nouvelle faille.
La faille et les versions corrigées
Il s’agit d’une écriture hors limites dans le programme CGI de l’interface web. Un attaquant présent sur le réseau local, sans authentification, peut envoyer une requête HTTP piégée et exécuter des commandes système. Les versions corrigées se terminent par « .3 » :
| Modèle | Version corrigée |
|---|---|
| GS1900-8 / GS1900-8HP | 2.90(AAHH.3)C0 / 2.90(AAHI.3)C0 |
| GS1900-10HP | 2.90(AAZI.3)C0 |
| GS1900-16 | 2.90(AAHJ.3)C0 |
| GS1900-24 / GS1900-24E | 2.90(AAHL.3)C0 / 2.90(AAHK.3)C0 |
| GS1900-24EP / GS1900-24HPv2 | 2.90(ABTO.3)C0 / 2.90(ABTP.3)C0 |
| GS1900-48 / GS1900-48HPv2 | 2.90(AAHN.3)C0 / 2.90(ABTQ.3)C0 |
Zyxel précise ne corriger que les modèles encore dans leur période de support. Un GS1900 absent de cette liste et encore en service est donc à remplacer.
Pourquoi ça concerne la sûreté
Les GS1900 « HP » et « EP » sont des commutateurs PoE manageables d’entrée de gamme, très répandus dans les petits sites : ils alimentent caméras, bornes Wi-Fi, téléphones IP et UTL de contrôle d’accès. Or la faille s’exploite depuis le réseau local. N’importe quel équipement compromis branché sur le même réseau, une caméra mal protégée ou un PC infecté, peut donc servir de tremplin. Et un commutateur pris en main, c’est la possibilité de dupliquer le trafic, de modifier les VLAN… ou de couper le PoE de toutes les caméras d’un coup.
Ma méthode pour la mise à jour
- Inventorier les GS1900 et relever la version installée.
- Planifier la coupure. La mise à jour redémarre le commutateur, donc coupe le PoE. Les caméras et les UTL alimentées s’éteignent quelques minutes. Prévenez l’exploitant et, si le site est télésurveillé, la station, pour éviter une rafale d’alarmes de perte de liaison. 🙂
- Changer les identifiants, surtout si les empreintes du mot de passe root ont pu fuiter : et si ce mot de passe était réutilisé ailleurs, on le change partout.
- Isoler l’administration : interface web accessible uniquement depuis un VLAN d’administration, jamais depuis le VLAN des caméras ou des utilisateurs.
- En cas de doute sur une compromission, vérifier les comptes et la configuration, voire repartir d’une configuration d’usine propre.
Mon avis
Le GS1900 reste un bon produit pour son prix, et Zyxel a réagi. Mais cette histoire illustre deux choses que je répète souvent. D’abord, « j’ai mis à jour en juin » ne vaut pas protection à vie : un commutateur se maintient comme un serveur. Ensuite, un commutateur PoE de sûreté n’est pas un simple « bout de câble » : c’est un équipement d’infrastructure qui mérite un réseau d’administration, des mots de passe uniques et un suivi des avis de sécurité. Si vous comparez avec une autre marque, regardez la durée de support annoncée, pas seulement le budget PoE.
Commentaires
Aucun commentaire pour l'instant : lancez la discussion.