Zyxel GS1900: el parche de junio no protegía y casi 1.000 switches fueron atacados. Qué firmware instalar

Zyxel publicó el 3 de noviembre de 2026 un aviso sobre CVE-2026-107441, un fallo en el programa que atiende la página de administración de sus switches GS1900. Permite que alguien que llegue a esa página ejecute órdenes en el switch con permisos máximos, sin conocer la contraseña. Lo grave es que ya se ha usado en ataques reales y que muchos de esos switches estaban actualizados: el firmware que Zyxel publicó en junio para otro fallo parecido no lo cerraba. La corrección está en las versiones 2.90 Patch 3, publicadas el 22 de octubre.

Si actualizó sus GS1900 en verano pensando que estaban a salvo, no lo están. Hay que instalar el firmware que termina en .3)C0.

Qué ha pasado

En junio, Zyxel corrigió un fallo de los GS1900 identificado como CVE-2026-7273. En septiembre, la empresa GreyNoise informó de que un atacante había comprometido 996 de estos switches en 48 países, y se atribuyó al fallo de junio. Al analizar el programa que usaban los atacantes, la empresa Binarly comprobó que funcionaba igual contra los switches que ya tenían el parche de junio: aprovechaba otro fallo distinto en el mismo código, una comprobación que faltaba sobre el tamaño de los datos recibidos. Binarly avisó a Zyxel el 29 de septiembre, Zyxel lo confirmó, publicó el firmware corregido el 22 de octubre y el aviso el 3 de noviembre.

Según los informes, los atacantes se llevaron la configuración de los switches, las contraseñas de administración cifradas y datos de la red, e instalaron programas para mantener el acceso aunque se reinicie el equipo. Binarly cree que el programa de ataque se escribió con ayuda de inteligencia artificial.

Zyxel le da una nota de 8,8 sobre 10 y dice que el atacante tiene que estar en la red local. Binarly le da un 9,8 y sostiene que basta con poder llegar a la página de administración del switch por la red, esté donde esté. En la práctica, el riesgo depende de quién puede acceder a esa página.

Qué modelos y qué firmware

Están afectados diez modelos. En todos, las versiones que terminan en .2)C0 (el parche de junio) y todas las anteriores son vulnerables. Esta es la versión corregida de cada uno:

Por qué importa en una empresa

La serie GS1900 es de las más vendidas en pymes: switches gestionables a buen precio, con o sin alimentación por cable de red (PoE) para cámaras, teléfonos y puntos de acceso WiFi. Suelen instalarse una vez y no se vuelven a tocar en años. Quien controla el switch ve y puede desviar todo lo que pasa por él, conoce la estructura de la red y tiene un punto de apoyo permanente en el que casi nadie mira.

Qué hacer hoy

1. Localice todos los switches GS1900 de la oficina y de las sedes. El modelo viene en la etiqueta; la versión de firmware, en la página de estado de su administración web.
2. Descargue el firmware corregido de su modelo solo desde la web de soporte de Zyxel e instálelo. Programe un momento con poca actividad: el switch se reinicia y la red se corta un par de minutos.
3. Limite quién puede abrir la página de administración: nunca accesible desde internet y, dentro de la oficina, solo desde una red de gestión o desde los equipos del personal técnico. Esto protege también frente al siguiente fallo.
4. Cambie la contraseña de administración del switch después de actualizar, sobre todo si estuvo expuesto: los atacantes se llevaban las contraseñas cifradas.

Si cree que pudo estar expuesto

Un switch cuya página de administración era accesible desde internet o desde una red de invitados debe tratarse como sospechoso. Como los atacantes dejaban programas que sobreviven al reinicio, lo prudente es restablecerlo a valores de fábrica, instalar el firmware corregido y configurarlo de nuevo a mano en lugar de restaurar la copia de configuración anterior. Revise también si hay reglas, usuarios o puertos de réplica que nadie haya creado.

Conclusión práctica

Este caso enseña dos cosas. La primera, que un parche no siempre cierra el agujero que dice cerrar, así que conviene seguir los avisos de los equipos de red y no solo instalarlos una vez. La segunda, que la página de administración de un switch, un router o un cortafuegos no debería estar al alcance de cualquiera: separar la red de gestión del resto es barato y evita la mayoría de estos problemas, igual que vimos con el fallo WPSplinter de los routers.

Si en su empresa no sabe qué switches tiene, qué firmware llevan o quién los gestiona, lo revisamos con usted y dejamos la red documentada y con la administración aislada.

Fuentes

Información actualizada a 6 de noviembre de 2026.

• Binarly: aviso BRLY-2026-057 sobre CVE-2026-107441
• The Hacker News: el parche de junio no frenaba el ataque, modelos y firmware
• Help Net Security: qué deben hacer los propietarios de GS1900
• SecurityWeek: los ataques usaron un fallo sin corregir
• Infosecurity Magazine: 996 switches en 48 países
• SOCRadar: diferencias entre CVE-2026-7273 y CVE-2026-107441