Zyxel GS1900スイッチのCVE-2026-7273がKEV入り。CGIのスタックバッファオーバーフローで約1000台が侵害された経緯と更新手順

2026年9月21日、CISAはZyxelのスマートマネージドスイッチGS1900シリーズの脆弱性CVE-2026-7273をKnown Exploited Vulnerabilities Catalog(KEVカタログ)に追加しました。スイッチのWeb管理画面を処理するCGIプログラムにスタックベースのバッファオーバーフローがあり、認証されていない攻撃者が細工したHTTPリクエストでOSコマンドを実行できるおそれがあるというものです。Zyxelは6月16日にアドバイザリと修正版ファームウェアを公開済みでした。

悪用の実態を公表したのは、インターネット上の攻撃通信を観測しているGreyNoiseです。同社のブログは、8月17日ごろから攻撃者がこの脆弱性を突き、48か国の996台のGS1900から設定や認証情報のハッシュを持ち出したと報告しています。GS1900は拠点や店舗、中小規模のオフィスでアクセス層のスイッチとして使われることが多い製品で、ルーターやVPN装置ほど更新の対象として意識されにくい機器です。この記事は、Zyxelのアドバイザリ、KEVのエントリ、NVDのレコード、GreyNoiseの調査で確認できた内容を整理し、対象の確認から侵害を疑う場合の対応までを扱います。攻撃コードや再現手順は扱いません。記述は執筆時点(2026年9月25日)に確認できた範囲に限ります。

KEVカタログに記録された内容#

CISAが配布するKEVカタログのJSONフィード(執筆時点で確認したカタログバージョン2026.09.24)に記録された値を並べます。

shortDescriptionは「Zyxel GS1900 series switches contain a stack-based buffer overflow vulnerability in the CGI program which could allow a LAN-based, unauthenticated attacker to exploit the flaw and potentially execute OS commands via a crafted HTTP request.」です。requiredActionは、ベンダーの指示に沿った緩和策の適用、BOD 26-04とForensics Triage Requirementsへの準拠、緩和策がない場合の利用中止を求め、資産ごとにインターネットへの露出を評価する責任は利用者側にあると書いています。

期限の2026年9月24日は、追加から3日後です。この期限やフォレンジックのトリアージを課すBOD 26-04の対象は、米国連邦政府の行政機関の資産です。CISAのアラートも、BOD 26-04は連邦機関向けだとしたうえで、すべての組織にKEVの脆弱性を優先して直すよう勧めています。同じアラートは、BOD 26-04がパッチ適用前に侵害されていなかったかを確かめるべき場面の基本的な基準も定めていると説明しています。日本の民間組織にとっては義務ではありませんが、forensicTriageがYesという記録は、この脆弱性では更新だけで対応を終えず、侵害の有無まで確かめる対象とされていることを示しています。

あわせて読みたい

脆弱性対応の優先順位付け。CVSSだけに頼らないEPSSとCISA KEVの使い方

脆弱性の中身とCVSSの読み方#

Zyxelのアドバイザリの説明は次のとおりです。

A stack-based buffer overflow vulnerability in the CGI program of the Zyxel GS1900 series switch firmware could allow a LAN-based, unauthenticated attacker to exploit the flaw and potentially execute OS commands via a crafted HTTP request.

アドバイザリが示す問題の箇所はファームウェアのCGIプログラムで、細工したHTTPリクエストが入口になります。スタックベースのバッファオーバーフローは、関数内の固定長の領域に、長さを確かめずに入力を書き込むことで起きます。書き込みが領域を越えると、関数の戻り先アドレスなど隣接するデータが上書きされ、処理の流れを攻撃者が選んだ場所へ変えられる場合があります。どのCGIのどのパラメーターが問題なのかは、執筆時点でZyxelから公開されていません。

CVSSはZyxelがCNAとして付けたv3.1の8.8です。NVDのレコードも同じ値を表示しており、NVD独自のスコアは付いていません。

AV:A(隣接ネットワーク)は、CVSS v3.1の仕様で、攻撃が同じサブネットなど論理的に隣接したネットワークからに限られる場合に付ける値です。ここだけを見ると「社内LANからしか狙えない」と読めますが、Zyxelのアドバイザリは、AV:Aとした理由を説明していません。HTTPで動く管理画面は、ルーティングやポート転送の設定しだいで離れた場所からも届きます。GreyNoiseの記事は、攻撃者がどの経路で各機器の管理画面に届いたかを明記していないものの、1つの攻撃者による被害は48か国に広がっています。CVSSの基本評価は個々の設置環境を反映しないため、自組織の機器の管理画面がどこから届くかは、スコアとは別に利用者側で確かめる必要があります。

NVDのレコードは2026年6月16日に登録され、9月22日に更新されています。説明文はGS1900-48HPv2の2.90(ABTQ.1)C0以前だけを挙げていますが、Zyxelのアドバイザリは10機種を対象にしており、KEVのエントリもGS1900 Series Switchesとしています。NVDの説明文だけを見て48HPv2以外は対象外と判断しないよう注意が要ります。アドバイザリは発見者として中国科学院軟件研究所(ISCAS)の研究者5名の名前を挙げています。

あわせて読みたい

バッファオーバーフローの仕組みと対策。境界を越えた書き込みがコード実行に至る理由

対象機種と修正版ファームウェア#

Zyxelのアドバイザリに載っている対象機種と修正版です。型番の括弧内の4文字は機種ごとのファームウェアの識別子で、末尾の数字が1以下なら影響を受け、2で修正されています。

アドバイザリは、修正版を「脆弱性サポート期間内の機種」に向けて出したと説明し、表にない現行販売製品(on-market products)は影響を受けないとしています。表にない型番のGS1900を使っている場合は、まず現行販売製品かどうかをZyxelの製品情報や販売代理店で確かめます。販売が終わりサポート期間を過ぎた旧モデルは、アドバイザリに影響の有無も修正版も示されていないため、修正版が出ない前提で扱うのが安全です。そうした機器は、管理画面への到達を下で述べる方法で厳しく絞ったうえで、サポート中の機種への置き換えを計画します。KEVのrequiredActionも、緩和策がない場合は利用をやめるよう求めています。

修正版の適用手順そのものは、Zyxelのサポートサイトで機種ごとに配布されているファームウェアとリリースノートに従います。作業の前に現行の設定を保存しておくのが通常の手順ですが、侵害が疑われる機器では、その設定自体が書き換えられている可能性がある点に注意が要ります(後述)。

GreyNoiseが報告した攻撃の経緯#

確認できた日付を並べます。

GreyNoiseの記事は、Kapibalaと名付けた一連の攻撃活動を扱っており、GS1900への攻撃はその一部です。記事によると、攻撃者は8月17日ごろから996台のGS1900から設定、ハッシュ化されたroot相当の認証情報、ネットワーク情報を持ち出しました。国別ではイタリアが133台、米国が129台、台湾が123台、フランスが90台、韓国が69台と続き、合計48か国に及びます。被害機器のうち564台は工場出荷時の認証情報のままだったとしています。記事は、2026年9月17日の時点でこれがこの脆弱性の悪用を公に記録した最初の事例だと述べています。

攻撃に使われたのは、商用の難読化ツールPyArmorで強く難読化されたPythonスクリプトです。GreyNoiseは、このスクリプトの目的がCVE-2026-7273の悪用だけにあり、GS1900-24のファームウェア2.10から2.90を狙っていたと説明しています。悪用に成功した機器では、TFTPで攻撃者側のサーバーから収集用のスクリプトを取得して実行するコマンドが使われていました。記事に載ったコマンドでは、TFTPの接続先ポートが既定の69番ではなく6969番になっています。

帰属について、GreyNoiseは攻撃者を「UTC+8で活動している可能性がある、中国語話者と疑われる人物」と表現し、Acronisが報告したRed Heronと同一か関連があるとしています。根拠には、同じC2ドメインやマルウェアファミリーの使用、7月のGiteaへの攻撃などを挙げています。同じ攻撃者はWordPress(CVE-2026-63030、CVE-2026-60137)やGitea(CVE-2026-60004)の脆弱性も悪用し、ある西側の政府機関から記録を持ち出したとされています。いずれもGreyNoiseの分析による評価で、この記事では確定した帰属としては扱いません。

GreyNoiseの記事は、被害者への配慮と運用上のリスクを理由に、攻撃に使われたIPアドレスの一部を伏せています。攻撃者のインフラの詳細を照合したい場合は、同社が公開している範囲に限られます。

あわせて読みたい

境界に置くエッジ機器の脆弱性が侵入口として狙われる理由

管理画面をユーザーの通信から切り離す#

今回の脆弱性は認証の前に届くため、パスワードを強くしても防げません。更新が済むまでの間、そして更新後も続ける対策は、Web管理画面に届く通信そのものを減らすことです。

あわせて読みたい

ネットワークセグメンテーションで侵入後の被害を広げない設計

侵害されたスイッチで起こりうること#

GreyNoiseが確認した被害は、設定と認証情報とネットワーク情報の持ち出しです。ただし、OSコマンドを実行できる状態は、攻撃者がスイッチを自由に操作できる状態でもあります。確認された事実とは別に、アクセス層のスイッチが奪われたときに考えるべき影響を整理します。

これらのうち、GreyNoiseの記事で確認できたのは表の上2行に相当する持ち出しまでです。残りはスイッチが持つ機能から導いた可能性で、今回の攻撃で実際に行われたという報告は執筆時点で確認できていません。

侵害を疑う場合の対応#

管理画面が外部や広いセグメントから到達できる状態で、8月17日の時点で修正版を当てていなかった機器は、侵害を前提に調べます。KEVのrequiredActionも、BOD 26-04に加えてCISAのForensics Triage Requirementsに従うよう求めています。

あわせて読みたい

インシデント発生時の初動対応。最初の1時間で何をするか

まとめ#

CVE-2026-7273は、Zyxelが6月に修正を公開してから2か月後に悪用が始まり、さらに1か月後にKEVへ追加されました。修正版が出ていても、スイッチのように設置後に触られにくい機器では更新が追いつかず、その間に約1000台の設定と認証情報が持ち出されています。対象の10機種を使っている組織は、修正版の適用と管理画面の分離を先に済ませ、露出していた機器については持ち出された情報を前提に秘密情報の入れ替えまで進めてください。