Zyxel GS1900 switch’lerde ağ içinden komut çalıştıran açığa yama çıktı

Zyxel’in GS1900 serisi akıllı yönetilebilir switch’lerinde bulunan bir güvenlik açığı, CISA’nın bilinen sömürülen açıklar (KEV) listesine 21 Eylül 2026’da eklendi. CVE-2026-7273 olarak kayıtlı açık, cihaz yazılımının CGI programında stack tabanlı bir buffer overflow (CWE-121) olarak tanımlanıyor. Zyxel, düzeltilmiş yazılımları 16 Haziran 2026 tarihli duyurusuyla yayınlamıştı.

Açık neden tehlikeli

Açığın en kritik yanı, sömürmek için hiçbir kullanıcı adı ya da parola gerekmemesi. Yerel ağdaki (LAN) kimlik doğrulaması yapmamış bir saldırgan, özel hazırlanmış bir HTTP isteğiyle buffer overflow’u tetikleyip cihaz üzerinde işletim sistemi komutu çalıştırabiliyor. NVD’nin CVSS 3.1 değerlendirmesi 8.8 puanla “yüksek” seviyede: saldırı vektörü komşu ağ (AV:A), karmaşıklık düşük, ayrıcalık ve kullanıcı etkileşimi gerekmiyor.

Buradaki “komşu ağ” ifadesi önemli. Cihaz internete açık olmasa bile, aynı ağa bağlanan bir başka cihaz üzerinden saldırı mümkün. Yani ofiste ya da evde misafir Wi-Fi ağına bağlanan bir dizüstü, ele geçirilmiş bir akıllı cihaz veya yönetim arayüzüne erişebilen herhangi bir cihaz, switch’e saldırmak için yeterli olabilir. Cihazın ağın merkezinde durması da riski büyütüyor: switch ele geçirilirse ağdaki trafiği izlemek ve yönlendirmek için kullanılabilir.

Etkilenen modeller ve yama sürümleri

Zyxel, destek dönemi içindeki dokuz model için yama yayınladı. Etkilenen cihazlarda 2.90(xxx.1)C0 ve öncesi sürümler açıktan etkileniyor, düzeltme 2.90(xxx.2)C0 sürümlerinde geliyor:

• GS1900-8 → 2.90(AAHH.2)C0
• GS1900-8HP → 2.90(AAHI.2)C0
• GS1900-16 → 2.90(AAHJ.2)C0
• GS1900-24 → 2.90(AAHL.2)C0
• GS1900-24E → 2.90(AAHK.2)C0
• GS1900-24EP → 2.90(ABTO.2)C0
• GS1900-24HPv2 → 2.90(ABTP.2)C0
• GS1900-48 → 2.90(AAHN.2)C0
• GS1900-48HPv2 → 2.90(ABTQ.2)C0

Zyxel, duyuruda yer almayan güncel ürünlerin bu açıktan etkilenmediğini belirtiyor. Yani GS1900 dışındaki modeller ve listede olmayan yeni ürünler için ek işlem gerekmiyor.

Ne yapmalı

Açık CISA listesine girdiği için ABD federal kurumlarının 24 Eylül 2026’ya kadar yama uygulaması ya da ürünü devre dışı bırakması gerekiyor. Kurumsal bir yükümlülüğünüz olmasa da son tarih, aciliyet için iyi bir gösterge.

Yapılacak ilk iş, cihazın yönetim arayüzünden yazılım sürümünü kontrol edip Zyxel’in destek sayfasındaki ilgili 2.90(xxx.2)C0 dosyasını kurmak. Güncelleme yapılana kadar alınabilecek önlemler arasında switch yönetim arayüzünü internete kapatmak, yönetim trafiğini ayrı bir VLAN’da tutmak ve kullanılmayan uzak yönetim servislerini devre dışı bırakmak var. Bu önlemler saldırının kaynağını daraltır ama açığı kapatmaz; asıl çözüm firmware güncellemesi.

Ev ya da küçük ofis ağında GS1900 serisi bir switch kullanıyorsanız ve cihaz iki yıldan uzun süredir güncellenmediyse, bu açık güncelleme için yeterli sebep. Ağ ekipmanı genelde “kuruldu ve unutuldu” kategorisinde kalıyor; oysa artık bu tür cihazlar saldırganların ilk hedefleri arasında.

Kaynak: CISA KEV · NVD