Ein stack-basierter Pufferüberlauf in einem CGI-Programm der Zyxel-GS1900-Switch-Serie wird seit Wochen ausgenutzt — und kaum jemand hat es bemerkt. Die Sicherheitsfirma GreyNoise meldete den Angriff am 22. September, entdeckt hatte sie ihn allerdings schon länger: Erste Angriffe laufen laut GreyNoise bereits seit dem 17. August 2026. Betroffen sind 996 Switches in 48 Ländern, Schwerpunkte liegen in Italien, den USA, Taiwan, Südkorea und mehreren EU-Staaten.
DIE LÜCKE: Ein präparierter HTTP-Request reicht
CVE-2026-7273 sitzt im CGI-Programm der Web-Oberfläche der GS1900-Serie. Ein nicht angemeldeter Angreifer im lokalen Netz — oder, schlimmer, im Internet, wenn das Management-Interface offen liegt — schickt eine speziell präparierte HTTP-Anfrage und bringt den Switch dazu, eigene Betriebssystem-Befehle auszuführen. Die Bewertung liegt bei CVSS 8.8. Zyxel selbst hatte die Lücke schon im Juni 2026 über eine private Meldung erfahren und noch im selben Monat gepatchte Firmware veröffentlicht — drei Monate, bevor der aktive Missbrauch überhaupt öffentlich wurde.
DIE BEUTE: Konfiguration, Netzwerkdaten, Passwort-Hashes
Wer die Lücke erfolgreich ausnutzt, zieht sich die komplette Gerätekonfiguration, Netzwerkinformationen und die gehashten Root-Zugangsdaten des Switches. Besonders unangenehm: Bei 564 der 996 betroffenen Geräte lief noch das Werks-Passwort — der Angreifer musste also gar keine Hashes knacken, um vollen Zugriff zu bekommen. GreyNoise bringt den Akteur zudem mit früheren Kampagnen gegen WordPress-Installationen und Gitea-Instanzen in Verbindung — ein Hinweis darauf, dass hier dieselbe Infrastruktur mehrere Zielgruppen gleichzeitig abgrast.
DIE FRIST: CISA setzt auf HEUTE
Die US-Cybersicherheitsbehörde CISA hat CVE-2026-7273 am 21. September in ihren KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen und US-Bundesbehörden verpflichtet, die Lücke bis heute, 24. September, zu schließen. Für Privatanwender und Firmen außerhalb der US-Verwaltung gilt die Frist zwar nicht formal — das Zeitfenster zum Nachrüsten schrumpft aber trotzdem, sobald eine Lücke im KEV-Katalog steht: Automatisierte Scanner und weitere Angreifergruppen greifen solche Listen aktiv als Fahrplan ab.
WAS DU JETZT TUN SOLLTEST
Prüfe zuerst, ob deine GS1900-Switches noch mit dem Werkspasswort laufen — das betrifft mehr als die Hälfte der bekannten Fälle. Spiele die Firmware aus Juni 2026 ein, sofern noch nicht geschehen. Wer prüfen will, ob sein Gerät bereits kompromittiert wurde, findet bei GreyNoise eine Liste bekannter Angreifer-IPs (eine Adresse bleibt aus operativen Gründen geschwärzt). Besonders dringend: Switches, deren Web-Oberfläche direkt aus dem Internet erreichbar ist, gehören priorisiert hinter eine Firewall oder zumindest hinter ein VPN — im Homelab ebenso wie im Kleinbetrieb.