TR-26-1478 - Zyxel GS1900 Serisi Ağ Anahtarları Ayrıntılı Güvenlik Duyurusu (CVE-2026-107441 / CVE-2026-7273 İlişkili Zafiyetler)

[Toplama Pc]

1. Genel Bilgi

Zyxel, ağ ve siber güvenlik cihazları üreten bir şirkettir. Şirketin GS1900 serisi, 8 ile 48 arasında bağlantı noktası sunan "akıllı yönetilen" ağ anahtarlarından (switch) oluşmaktadır. Ağ anahtarı, aynı bina veya ofis ağındaki bilgisayar, yazıcı, kamera ve telefon gibi cihazları birbirine bağlayan ve aralarındaki veri trafiğini yönlendiren donanımdır. Üretici, GS1900 serisini küçük ve orta ölçekli işletmeler ile ofis ortamları için konumlandırmaktadır. Cihazlar, bir web tarayıcısından erişilen yönetim ekranı üzerinden yapılandırılmaktadır. Serinin bazı modelleri kablosuz erişim noktalarına, IP kameralara ve IP telefonlara ağ kablosu üzerinden elektrik de sağlamaktadır.5

Bu duyuru, GS1900 serisinin cihaz üzerinde çalışan yazılımında (firmware) bulunan iki zafiyeti ele almaktadır. CVE kodları, farklı zafiyetlerin birbirine karıştırılmadan tanımlanmasını sağlayan benzersiz kimliklerdir. Zyxel, CVE-2026-7273 kodlu zafiyeti Haziran 2026'da yayımladığı "Patch 2" güncellemesiyle giderdiğini duyurmuştur. Ancak daha sonra yapılan bağımsız bir teknik analiz, saldırganların kullandığı aracın bu güncellemeyi almış cihazlarda da çalıştığını ortaya koymuştur. Zyxel bu ikinci sorunu CVE-2026-107441 koduyla ayrı bir zafiyet olarak kabul etmiş ve Ekim 2026'da "Patch 3" güncellemesini yayımlamıştır.1 2 10

Zafiyet, cihazın web yönetim ekranına gelen isteklerin işlenmesinde bulunmaktadır. Saldırganın cihazda bir kullanıcı hesabına veya parolaya ihtiyacı bulunmamaktadır. Özel olarak hazırlanmış bir istekle cihazda kendi belirlediği komutları çalıştırabilmektedir. Bu durum cihaz ayarlarının okunmasına ve değiştirilmesine ya da cihazın çalışmasının durdurulmasına yol açabilmektedir. Üreticiye göre saldırganın cihazla aynı yerel ağda bulunması gerekmektedir. Bağımsız teknik analiz ise yönetim ekranına ağ üzerinden erişebilen herkesin saldırıyı gerçekleştirebileceğini değerlendirmektedir.1 11

Gerçek saldırı kanıtı bulunmaktadır. Bir tehdit grubu, Ağustos 2026'da 48 ülkede 996 GS1900 cihazından yapılandırma bilgilerini, yönetici parolalarına ait şifrelenmiş kayıtları ve ağ bilgilerini çalmıştır. Bu saldırılar ilk olarak CVE-2026-7273 ile ilişkilendirilmiştir. Bağımsız analiz ise kullanılan saldırı aracının CVE-2026-107441'e dayandığını göstermektedir. Zyxel yeni zafiyetin saldırılarda kullanılıp kullanılmadığını açıklamamıştır. Kanada Siber Güvenlik Merkezi, açık kaynak raporlarına dayanarak zafiyetin sahada istismar edildiğini belirtmektedir.8 10 12

Kurumların, Haziran 2026 güncellemesini yüklemiş olanlar da dahil olmak üzere bütün GS1900 cihazlarını Zyxel'in "2.90 Patch 3" ürün yazılımına güncellemesi gerekmektedir. Güncelleme, daha önce ele geçirilmiş bir cihazda saldırganın elde ettiği bilgileri veya yaptığı değişiklikleri kendiliğinden geri almamaktadır. Bu nedenle cihazların yapılandırması ve yönetici parolaları ayrıca gözden geçirilmelidir.

2. Teknik Detaylar

2.1. Temel Bilgiler

• Üretici / Vendor: Zyxel
• Ürün: GS1900 serisi akıllı yönetilen ağ anahtarları (network switch): GS1900-8, GS1900-8HP, GS1900-10HP, GS1900-16, GS1900-24, GS1900-24E, GS1900-24EP, GS1900-24HPv2, GS1900-48, GS1900-48HPv21
• Bileşen: Ürün yazılımının (firmware) ortak ağ geçidi arayüzü (Common Gateway Interface, CGI) programı. Bağımsız teknik analizde bu program dispatcher.cgi olarak tanımlanmaktadır. Zafiyetli parametre ayrıştırma işlevinin (web_util_initParaPairs) httprestorecfg.cgi ve httpupload.cgi programlarından da erişilebilir olduğu bildirilmektedir.1 11
• Zincir Adı: İki CVE arasında bir istismar zinciri (exploit chain) bulunmamaktadır. İlişki, eksik düzeltme (incomplete fix) ilişkisidir.

CVE-2026-107441

• CVE: CVE-2026-107441 (PUBLISHED)6
• CNA: Zyxel6
• Zafiyet Türü: Kimlik doğrulama öncesi (pre-authentication) sınır dışı yazma (out-of-bounds write) ve işletim sistemi komut yürütme (OS command execution)1 3
• CWE: CWE-787 Out-of-bounds Write6
• Etkilenen Servis / Özellik: Web tabanlı yönetim arayüzü (management interface) üzerinden gelen bağlantılı metin aktarım protokolü (Hypertext Transfer Protocol, HTTP) isteklerini işleyen CGI programı1 11
• İstismar Ön Koşulu: Yönetim arayüzüne ağ üzerinden erişim. Üretici, saldırganı yerel ağdaki (Local Area Network, LAN) kimliği doğrulanmamış saldırgan (unauthenticated attacker) olarak tanımlamaktadır. CNA kaydı aynı saldırganı "bitişik ağdaki (adjacent network)" saldırgan olarak tanımlamaktadır. Bağımsız teknik analize göre ise yönetim servisine ağ üzerinden erişebilmek yeterlidir.1 6 11
• Saldırı Vektörü: CNA'nın Ortak Zafiyet Puanlama Sistemi (Common Vulnerability Scoring System, CVSS) vektöründe AV:A (Adjacent). Bağımsız teknik analizde AV:N (Network)6 11
• Kullanıcı Etkileşimi: Gerekmemektedir (UI:N).6
• Gerekli Ayrıcalıklar: Gerekmemektedir (PR:N).6
• Etkilenen Sürümler:1
  • GS1900-8: 2.90(AAHH.2)C0 ve öncesi
  • GS1900-8HP: 2.90(AAHI.2)C0 ve öncesi
  • GS1900-10HP: 2.90(AAZI.2)C0 ve öncesi
  • GS1900-16: 2.90(AAHJ.2)C0 ve öncesi
  • GS1900-24: 2.90(AAHL.2)C0 ve öncesi
  • GS1900-24E: 2.90(AAHK.2)C0 ve öncesi
  • GS1900-24EP: 2.90(ABTO.2)C0 ve öncesi
  • GS1900-24HPv2: 2.90(ABTP.2)C0 ve öncesi
  • GS1900-48: 2.90(AAHN.2)C0 ve öncesi
  • GS1900-48HPv2: 2.90(ABTQ.2)C0 ve öncesi
• Minimum Güvenli Sürüm: Her model için 2.90(Axxx.3)C0: AAHH.3, AAHI.3, AAZI.3, AAHJ.3, AAHL.3, AAHK.3, ABTO.3, ABTP.3, AAHN.3, ABTQ.31
• Güncel Önerilen Sürüm: V2.90 Patch 3 (2.90(Axxx.3)C0). Zyxel'in sürüm duyurusunda GS1900-8HP Rev. B1 için de 2.90(AAHI.3)C0 sürümü listelenmektedir.3
• Aktif İstismar Durumu: Zyxel istismar durumunu açıklamamıştır. Bağımsız teknik analiz, sahadaki saldırılarda kullanılan istismar kodunun bu zafiyete dayandığını göstermektedir. Kanada Siber Güvenlik Merkezi, açık kaynak raporlarına dayanarak sahada istismar edildiğini bildirmektedir. Zafiyet CISA İstismar Edildiği Bilinen Zafiyetler (Known Exploited Vulnerabilities, KEV) kataloğunda yer almamaktadır.1 8 9 10

CVE-2026-7273

• CVE: CVE-2026-7273 (PUBLISHED)7
• CNA: Zyxel7
• Zafiyet Türü: Kimlik doğrulama öncesi stack tampon taşması (stack buffer overflow) ve işletim sistemi komut yürütme. Zyxel'in araştırmacılara yaptığı açıklamaya göre zafiyet, parametre sayacının doğrulanmamasından kaynaklanmaktadır.2 4 10
• CWE: CWE-121 Stack-based Buffer Overflow7
• Etkilenen Servis / Özellik: Web tabanlı yönetim arayüzünün CGI programı2
• İstismar Ön Koşulu: Üreticiye göre yerel ağda bulunan kimliği doğrulanmamış saldırganın özel hazırlanmış (crafted) HTTP isteği göndermesi2
• Saldırı Vektörü: CNA CVSS vektöründe AV:A (Adjacent)7
• Kullanıcı Etkileşimi: Gerekmemektedir (UI:N).7
• Gerekli Ayrıcalıklar: Gerekmemektedir (PR:N).7
• Etkilenen Sürümler: On modelde 2.90(Axxx.1)C0 ve öncesi (ilk: GS1900-8 2.90(AAHH.1)C0, son: GS1900-48HPv2 2.90(ABTQ.1)C0)2
• Minimum Güvenli Sürüm: Yalnızca CVE-2026-7273 için 2.90(Axxx.2)C0 (V2.90 Patch 2). Bu sürümler CVE-2026-107441'den etkilenmektedir. İki zafiyet için de Minimum Güvenli Sürüm 2.90(Axxx.3)C0'dır.1 2 4
• Güncel Önerilen Sürüm: V2.90 Patch 3 (2.90(Axxx.3)C0)3
• Aktif İstismar Durumu: CISA KEV kataloğunda yer almaktadır. Sahadaki saldırılar bu zafiyete atfedilmiş, ancak bağımsız teknik analiz bu atfı sorgulamaktadır (bkz. 2.5). Zyxel istismar durumunu açıklamamıştır.2 9 10 12

• Zincirin Sonucu: CVE-2026-7273 için yayımlanan düzeltme, CVE-2026-107441 olarak kayda geçen kusuru gidermemiştir. Patch 2 sürümünü çalıştıran cihazlar, sahada kullanılan istismar koduna karşı zafiyetli kalmıştır.10 11

2.2. Zafiyet Tanımı

CVE-2026-107441: Yönetim arayüzünün CGI programı, HTTP isteğindeki parametreleri 140 girişlik sabit boyutlu bir bellek alanına kopyalamakta ve kaç parametre saklandığını bu alanın hemen ardından gelen bir sayaçta tutmaktadır. Bağımsız teknik analize göre program, her parametrenin kendisine ayrılan 1024 baytlık girişe sığıp sığmadığını denetlememektedir. Parametre sayısını ise ancak kopyalama işlemi tamamlandıktan sonra kontrol etmektedir. Bu nedenle son girişe yazılan aşırı uzun bir parametre, sayacın üzerine yazılabilmektedir. Saldırgan sayaca kendi belirlediği değeri vererek bir sonraki parametrenin bellek alanının dışına yazılmasını sağlayabilmektedir. Bu yolla programın çağıracağı işlevlerin adreslerini değiştirerek kendi komutunu çalıştırabilmektedir. Analizi yapan araştırmacılara göre komutlar root yetkileriyle (root privileges) çalışmaktadır.10 11 Üretici bu kusuru, kimliği doğrulanmamış saldırganın özel hazırlanmış HTTP isteğiyle işletim sistemi komutu çalıştırmasına imkân verebilecek bir sınır dışı yazma zafiyeti olarak tanımlamaktadır.1 Patch 3 sürümünde sayaç, kopyalama işleminden önce denetlenmekte ve her alana kopyalanan veri 511 baytla sınırlandırılmaktadır.10

CVE-2026-7273: CNA kaydı ve üretici duyurusu bu zafiyeti, CGI programında yerel ağdaki kimliği doğrulanmamış saldırgana komut yürütme imkânı verebilecek bir stack tampon taşması olarak tanımlamaktadır.2 7 Bağımsız yama karşılaştırması (patch diffing), Patch 2 güncellemesinde iki değişiklik yapıldığını göstermektedir. Birincisi, bazı yığın (stack) arabelleklerine yazan işlev çağrıları sınırlı sürümleriyle değiştirilmiştir. İkincisi, parametre ayrıştırma döngüsüne sayaç kontrolleri eklenmiştir. Eklenen kontroller sayaç zaten bozulduktan sonra çalıştığı için CVE-2026-107441'i engellememektedir. Araştırmacılara göre Zyxel, CVE-2026-7273'ün sayaç doğrulaması eksikliğiyle ilgili olduğunu bildirmiş ve parametre boyutu kontrolünün eksikliğini ayrı bir zafiyet olarak kabul etmiştir.10 11

2.3. Zayıflıklar

CNA, CVE-2026-107441'e CWE (yazılım ve donanım zayıflık türlerinin ortak sınıflandırması) kataloğundan CWE-787 (Out-of-bounds Write), CVE-2026-7273'e ise CWE-121 (Stack-based Buffer Overflow) atamıştır.6 7 CWE-787, bu vakada parametrelerin sabit boyutlu bellek alanına sınır denetimi olmadan kopyalanması ve alanın sonundaki sayaç değişkeninin üzerine yazılabilmesi biçiminde ortaya çıkmaktadır. Bağımsız teknik analiz, CVE-2026-7273'ün kamuya açık tanımında yer alan "stack tampon taşması" ifadesinin, sahada kullanılan istismar kodunun hedeflediği kusurla örtüşmediğini belirtmektedir. Analize göre bozulan nesne yığın üzerindeki bir arabellek değil, programın genel veri alanındaki parametre tablosudur.11 Her iki zafiyet için de CAPEC ve MITRE ATT&CK eşleşmesi resmî kaynaklarda yayımlanmamıştır.

2.4. Etkiler

• CVE-2026-107441: Kimliği doğrulanmamış saldırgan, yönetim arayüzüne gönderdiği özel hazırlanmış bir HTTP isteğiyle cihazda işletim sistemi komutu çalıştırabilmektedir.1 Bağımsız teknik analiz zafiyeti, root yetkileriyle uzaktan kod yürütme (Remote Code Execution, RCE) olarak değerlendirmektedir.11
• CVE-2026-7273: Üreticiye göre yerel ağdaki kimliği doğrulanmamış saldırgan, özel hazırlanmış HTTP isteğiyle işletim sistemi komutu çalıştırabilmektedir.2
• Gözlemlenen sonuç: Sahadaki saldırılarda cihaz yapılandırmaları, root düzeyindeki kimlik bilgilerinin özet değerleri ve ağ bilgileri çalınmıştır. Etkilenen 996 cihazın 564'ünde fabrika çıkışı varsayılan kimlik bilgilerinin (default credentials) kullanıldığı belirlenmiştir.12
• Operasyonel sonuç: Haziran 2026 güncellemesini yükleyen ya da CVE-2026-7273 için KEV gereğini Patch 2 ile karşılayan kurumların cihazları, sahada kullanılan istismar koduna karşı korunmasız kalmıştır.9 10

2.5. Sömürü Durumu

• Aktif exploit var mı?: Evet. Saldırgana ait çalışan istismar kodu, saldırganın altyapısında ele geçirilmiştir. Bağımsız araştırmada kodun Patch 2 sürümlerinde değişiklik yapılmadan çalıştığı doğrulanmıştır. İstismar kodu kamuya açık değildir.10
• PoC var mı?: Kamuya açık güvenilir kaynaklarda doğrulanmış bir kavram kanıtı (Proof of Concept, PoC) bulunmamaktadır. Araştırmacılar küçültülmüş bir PoC yayımlayacaklarını bildirmiştir.10
• Gerçek dünya istismarı var mı?: Evet. Gerçek cihazların ele geçirildiği ve cihazlardan veri sızdırıldığı (data exfiltration) gözlemlenmiştir. İstismarın hangi CVE ile gerçekleştiği konusunda kaynaklar farklı değerlendirmeler yapmaktadır.10 12
• Exploit chain gerçek saldırıda doğrulandı mı?: Hayır.
• CISA KEV durumu: CVE-2026-7273 katalogda yer almaktadır. Bilinen fidye yazılımı kampanyalarında kullanım (Known Ransomware Campaign Use) alanı Unknown, forensicTriage alanı Yes olarak işaretlidir. CVE-2026-107441 katalogda yer almamaktadır (2026.11.04).9
• CISA SSVC durumu: CISA yetkili veri yayıncısı (Authorized Data Publisher, ADP) kayıtlarındaki Paydaşlara Özgü Zafiyet Sınıflandırması (Stakeholder-Specific Vulnerability Categorization, SSVC) değerleri şöyledir:
  • CVE-2026-107441: Sömürü Durumu: Yok, Otomatize Edilebilirlik(Automatable): Hayır, Teknik Etki (Technical Impact): Tam (03.11.2026)6
  • CVE-2026-7273: Sömürü Durumu: Aktif, Otomatize Edilebilirlik: Hayır, Teknik Etki: Tam (17.06.2026)7

Zaman Çizelgesi:

• 16.06.2026: Zyxel, CVE-2026-7273 duyurusunu ve düzeltilmiş 2.90 Patch 2 sürümlerini yayımladı.2
• Ağustos 2026: Bir tehdit aktörü (threat actor), 48 ülkede 996 GS1900 cihazını istismar ederek veri sızdırdı. Kaynak tarihi "17 Ağustos civarı" olarak vermektedir.12
• 17.09.2026: Bağımsız araştırmacılar, saldırgan altyapısındaki herkese açık bir dizinde GS1900 istismar kodunu buldu.10
• 21.09.2026: Saldırılar, kamuya açık bir tehdit istihbaratı raporunda CVE-2026-7273 ile ilişkilendirildi.12
• 21.09.2026: CISA, CVE-2026-7273'ü KEV kataloğuna ekledi.9
• 24.09.2026: CVE-2026-7273 için CISA KEV son işlem tarihi (Due Date) doldu.9
• 28.09.2026: Araştırmacılar, CVE-2026-7273 için yayımlanan on düzeltilmiş sürümün de istismar koduna karşı zafiyetli olduğunu doğruladı.11
• 29.09.2026: Araştırmacılar Zyxel'i bilgilendirdi.11
• 11.10.2026: Araştırmacıların beyanına göre Zyxel yeni zafiyeti (CVE-2026-107441) doğruladı.11
• 23.10.2026: Zyxel, CVE-2026-107441'i gideren 2.90 Patch 3 ürün yazılımını topluluk sayfasında yayımladı.3
• 03.11.2026: Zyxel, CVE-2026-107441 güvenlik duyurusunu yayımladı.1
• 03.11.2026: CVE-2026-107441 kaydı yayımlandı.6
• 03.11.2026: Araştırmacılar BRLY-2026-057 duyurusunu ve teknik analizlerini yayımladı.10 11
• 04.11.2026: Kanada Siber Güvenlik Merkezi, açık kaynak raporlarına dayanarak CVE-2026-107441'in sahada istismar edildiğini bildirdi.8

Saldırıları ilk raporlayan tehdit istihbaratı çalışması, istismarı CVE-2026-7273'e atfetmiştir. Rapor, saldırganın kendi sensörlerinden ve saldırgan altyapısından elde edilen verilere dayanmaktadır. Rapordaki 996 cihaz, sensör değil gerçek cihazlardır. Rapora göre saldırgan, istismar sonrasında basit dosya aktarım protokolü (Trivial File Transfer Protocol, TFTP) ile cihazlara bir veri toplama betiği indirmiş ve topladığı verileri web dizininde alınmaya hazır bırakmıştır. Bu atıf, raporun yayımlandığı sayfada bugüne kadar güncellenmemiştir.12

Bağımsız teknik analiz, ele geçirilen istismar kodunun raporda tanımlanan araçla eşleştiğini ve kodun hedef listesinde Patch 2 sürümünün (GS1900-24 için 2.90(AAHL.2)C0) de bulunduğunu göstermektedir. Analizi yapan araştırmacılar bu bulguya iki olası açıklama getirmektedir. Birinci açıklamaya göre Patch 2, CVE-2026-7273 için yanlış bir düzeltmedir. İkinci açıklamaya göre sahadaki saldırılar farklı bir zafiyetle gerçekleştirilmiştir ve bu durumda CISA'nın ilişkilendirmesi doğru değildir. Her iki durumda da istismar edilen kusur, düzeltilmiş olarak duyurulan on sürümün tamamında bulunmaktadır.10 11 İncelenen kaynaklarda saldırıya uğrayan cihazların hangi ürün yazılımı sürümünü çalıştırdığına ilişkin bilgi bulunmamaktadır. Bu nedenle 996 cihazın kaçının hangi kusurla ele geçirildiği ayrıştırılamamaktadır. Zyxel'in iki duyurusunda da istismar durumuna ilişkin bir ifade bulunmamaktadır.1 2

Tehdit istihbaratı raporu aktörün başka bir araştırmada Red Heron olarak izlenen aktörle aynı ya da bağlantılı olduğunu değerlendirmektedir.12 Red Heron'u tanımlayan araştırma, aktörü orta güven düzeyinde ve bağlantılı bir operasyonel ortamla ilişkilendirmektedir.13 İstismar kodu, JITTERLY adlı arka kapı (backdoor) ve SIXZUT adlı rootkit (zararlı yazılımın dosya, süreç ve bağlantılarını gizleyen araç) örnekleriyle birlikte aynı komuta ve kontrol (Command and Control, C2) altyapısında bulunmuştur.10 İncelenen kaynaklarda bu zararlı yazılımların GS1900 cihazlarına yüklendiğine ilişkin doğrulanmış bilgi bulunmamaktadır.

Güvenli PoC Özeti:

1. İstismar kodu önce hedef cihazın ürün yazılımı sürümünü tespit etmektedir.
2. Ardından yönetim arayüzüne çok sayıda parametre içeren tek bir HTTP isteği göndermektedir. Bu istekte son parametrelerden biri ayrılan alandan uzundur ve parametre sayacının üzerine yazmaktadır.
3. Bozulan sayaç, bir sonraki parametrenin bellek alanı dışına yazılmasına yol açmakta ve programın çağıracağı işlev yerine saldırganın komutu çalıştırılmaktadır.

Kaynak sınıflandırması: Gerçek saldırıyla ilişkili istismar materyali. Araştırmacılar kodu, ürün yazılımının bilgisayar ortamında çalıştırıldığı test düzeneğinde ve gerçek donanımda denediklerini bildirmektedir. Hangi modelin gerçek donanımda test edildiği belirtilmemiştir.10

Vendor/CNA doğrulama seviyesi: Zyxel, araştırmacıların bildirdiği kusuru ayrı bir zafiyet olarak doğrulamış ve düzeltmiştir. İstismar kodunun sahada kullanıldığını ise açıklamamıştır.1 10

3. Risk Değerlendirmesi

Resmî CVSS değerlendirmeleri:

• CVE-2026-107441, Zyxel (CNA), CVSS v3.1, 8.8: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H6
• CVE-2026-7273, Zyxel (CNA), CVSS v3.1, 8.8: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H7
• CISA ADP, her iki CVE için de CVSS değerlendirmesi yayımlamamıştır.6 7 Kamuya açık güvenilir kaynaklarda CNA dışında resmî bir CVSS değerlendirmesi doğrulanmamıştır.

CNA vektörünün metrikleri (iki CVE için aynıdır):

• Saldırı vektörü (Attack Vector): Adjacent
• Saldırı karmaşıklığı (Attack Complexity): Low
• Gerekli yetkiler (Privileges Required): None
• Kullanıcı etkileşimi (User Interaction): None
• Kapsam (Scope): Unchanged
• Gizlilik (Confidentiality): High
• Bütünlük (Integrity): High
• Erişilebilirlik (Availability): High

Bağımsız teknik analiz, istismarın HTTP üzerinden gerçekleştiğini ve protokol düzeyinde bir bitişiklik şartı bulunmadığını belirtmektedir. Bu nedenle CVE-2026-107441'i CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H vektörüyle 9.8 olarak değerlendirmektedir.11 Bu değerlendirme resmî bir CVSS değerlendirmesi değildir. Üreticinin yerel ağ tanımı ile araştırmacının ağ üzerinden erişim değerlendirmesi arasındaki farkın, yönetim arayüzüne hangi ağlardan erişilebildiği değerlendirilirken dikkate alınması gerekmektedir.

İstismar Tahmin Puanlama Sistemi (Exploit Prediction Scoring System, EPSS):14

• CVE-2026-107441: EPSS: %0,293, yüzdelik dilim (percentile): %22,021, veri tarihi: 05.11.2026, doğrulama tarihi: 06.11.2026
• CVE-2026-7273: EPSS: %2,778, yüzdelik dilim: %86,421, veri tarihi: 05.11.2026, doğrulama tarihi: 06.11.2026

CVE-2026-7273'ün CISA KEV kaydındaki gerekli işlem (Required Action) alanı iki şey istemektedir. Birincisi, üretici talimatlarına uygun önlemlerin uygulanmasıdır. İkincisi, CISA'nın BOD 26-04 yönergesine ve "Forensics Triage Requirements" belgesindeki adli analiz ön değerlendirmesi (forensic triage) gerekliliklerine uyulmasıdır.9 CVE-2026-107441'in KEV'de bulunmaması ve SSVC'deki "none" değeri, gerçek dünya istismarının bulunmadığı anlamına gelmemektedir. SSVC değeri, sahadaki saldırıları bu zafiyetle ilişkilendiren analizlerle aynı gün kaydedilmiştir.6 10

Kurumsal açıdan en önemli risk şudur: Patch 2 sürümü CVE-2026-7273 için düzeltme olarak duyurulmuş ve KEV gereğini karşılayan sürüm olarak uygulanmıştır, ancak bu sürüm sahada kullanılan istismar koduna karşı koruma sağlamamaktadır.2 9 10 Sürüm bilgisi Patch 2'yi gösteren cihazların güvende olduğu varsayılmamalıdır.

4. Etkisizleştirme (Mitigation)

Zyxel, CVE-2026-107441 için geçici çözüm (workaround) yayımlamamıştır.1 Güncelleme hemen uygulanamıyorsa aşağıdaki genel savunma önlemleri değerlendirilebilir. Bu önlemler üretici tarafından önerilmemiş ve doğrulanmamıştır.

• Cihazların web yönetim arayüzüne erişimi yalnızca ayrılmış yönetim ağıyla ve yetkili yönetici sistemleriyle sınırlandırmak.
• Yönetim arayüzünü internete ve kullanıcı ağlarına açık bırakmamak.
• Fabrika çıkışı varsayılan kimlik bilgilerini değiştirmek.

Etkisizleştirme önlemleri kalıcı güvenlik güncellemesinin yerine geçmemektedir.

5. Kalıcı Çözüm (Remediation)

Kalıcı çözüm, her modelin 2.90(Axxx.3)C0 (V2.90 Patch 3) ürün yazılımına güncellenmesidir. Bu sürüm hem Minimum Güvenli Sürüm hem de Güncel Önerilen Sürümdür.1 3

• GS1900-8: 2.90(AAHH.3)C0
• GS1900-8HP (Rev. B1 dahil): 2.90(AAHI.3)C0
• GS1900-10HP: 2.90(AAZI.3)C0
• GS1900-16: 2.90(AAHJ.3)C0
• GS1900-24: 2.90(AAHL.3)C0
• GS1900-24E: 2.90(AAHK.3)C0
• GS1900-24EP: 2.90(ABTO.3)C0
• GS1900-24HPv2: 2.90(ABTP.3)C0
• GS1900-48: 2.90(AAHN.3)C0
• GS1900-48HPv2: 2.90(ABTQ.3)C0

CVE-2026-7273 için 2.90(Axxx.2)C0 sürümüne güncellenmiş cihazların da Patch 3'e yükseltilmesi gerekmektedir.1 Zyxel'in duyurusunda, kendi zafiyet destek dönemindeki modeller için düzeltme yayımlandığı ve tabloda yer almayan, satışta olan ürünlerin etkilenmediği belirtilmektedir.1

Güncelleme, daha önce gerçekleşmiş bir güvenlik ihlalini gidermemektedir. Zyxel, ele geçirilmiş olabilecek cihazlar için bir talimat yayımlamamıştır.1 Sahada çalınan bilgiler arasında root düzeyindeki kimlik bilgilerinin özet değerleri bulunduğu için yönetim arayüzüne erişilebilir durumda olan cihazlarda aşağıdaki genel olay müdahalesi önlemleri değerlendirilebilir:12

• Yönetici ve root parolalarının yenilenmesi,
• Cihaz yapılandırmasının bilinen iyi bir yedekle karşılaştırılması,
• Cihaz yapılandırmasında yer alan diğer gizli bilgilerin (ör. paylaşılan anahtarlar) yenilenmesi.

Bu öneriler üretici talimatı değildir. Geriye dönük incelemede başlangıç noktası, bilinen en erken saldırı gözlemi olan Ağustos 2026 olarak alınabilir. Bu tarih bilinen en erken gözlemdir; daha önceki girişimlerin bulunmadığı anlamına gelmemektedir.

6. Tespit / İzleme (SOC/SIEM için)

6.1. Log Göstergeleri

Üretici, istismara ilişkin bir log göstergesi yayımlamamıştır. Aşağıdaki göstergeler kaynaklardaki teknik bulgulardan türetilmiş davranış göstergeleridir. Tek başına kesin ihlal göstergesi olarak değerlendirilmemelidir.

• Yönetim arayüzündeki /cgi-bin/dispatcher.cgi uç noktasına, olağan kullanımın çok üzerinde (140'tan fazla) parametre ya da tek bir aşırı uzun parametre içeren HTTP POST istekleri. Bu uç nokta meşru yönetim işlemlerinde de kullanılmaktadır.10 11
• Ağ anahtarının yönetim adresinden dış sistemlere başlatılan TFTP bağlantıları. Gözlemlenen saldırıda veri toplama betiği UDP 6969 portu üzerinden indirilmiştir.12
• Ağ anahtarının yönetim adresinden beklenmeyen dış yönlü bağlantılar (outbound connection) ve 6.2'deki aktör altyapısına giden trafik.10 12

6.2. IOC

Saldırıda kullanılan istismar IP adresi, raporu yayımlayan kurum tarafından mağdur hassasiyeti gerekçesiyle gizlenmiştir.12 Aşağıdaki güvenlik ihlali göstergeleri (Indicator of Compromise, IOC) iki gruba ayrılmaktadır. İlk grup ele geçirilmiş GS1900 cihazlarında gözlemlenen dosya yollarıdır. Diğer gruplar, aynı aktöre atfedilen ve yalnızca GS1900 saldırılarına özgü olmayan altyapı ile zararlı yazılım göstergeleridir.

• Ele geçirilmiş cihazlarda gözlemlenen dosya yolları:12
  • /tmp/info
  • /home/web/tmp/info.txt (toplanan verilerin alınmaya hazır bırakıldığı yol)
• İstismar
• kodunun bulunduğu altyapı: p2.981666[.]xyz (104.223.65[.]148; 18081/tcp üzerindeki herkese açık dizinde gs1900_bundle.tar.gz ve exp.py dosyaları)10
• Aktör altyapısı (alan adları): *.981666[.]xyz (C2); s2.981666[.]xyz:8082; s7.981666[.]xyz10 12
• Aktör altyapısı (IP adresleri):10 12
  • 104.225.153[.]141 (C2)
  • 172.245.247[.]21 (istismar)
  • 203.88.123[.]148
  • 166.88.227[.]181
  • 74.48.66[.]73 (hazırlık sunucusu (staging server))
• JITTERLY (SHA-256): 0f6e757e82c4d91df5bd249f775b9970b59dee42cc0dfe40f879d77fc16821c6, 663a8088faca8e126a11648f5671fcf4eaf96435e10daf63a1d1b17d8385154c, 82d072ab03d90c0131b06a576eadf2c986a51f0de986d50db4e49be01bf125cb10
• SIXZUT (SHA-256): 295133156b6a7d95b9c92f832f49e35235f1fbd3906e75c9202ef4cd65d1018c, 64677002011bc2e4bc642a4154a20fdb95620ebd0144b98fc60f917901ec8b92, 728810b07e911b235f6450e784391e39f68819a0a5d209662162916ffea2514610

JITTERLY ve SIXZUT örnekleri, saldırganın altyapısında bulunmuştur. Bu örneklerin GS1900 cihazlarında gözlemlendiğine ilişkin doğrulanmış bilgi bulunmamaktadır.10

6.3. Tespit Kuralı Önerisi

CVE-2026-107441 istismarını tespit etmek için kamuya açık, doğrulanmış bir Sigma, IDS/IPS veya SIEM tespit kuralı (detection rule) yayımlanmamıştır. Araştırmacıların BRLY_2026_057 kuralı kendi ticari platformlarına aittir.10 Araştırmacılar JITTERLY ve SIXZUT için kamuya açık YARA kuralları yayımlamıştır. Bu kurallar, Linux sistemlerdeki zararlı yazılım dosyalarını tespit etmeye yöneliktir; ağ anahtarına yönelik istismarı tespit etmemektedir.10

Kurum içinde aşağıdaki davranış korelasyonları (behavioral correlation) değerlendirilebilir. Bunlar doğrulanmış istismar imzası değildir.

• GS1900 yönetim adreslerine yönelik HTTP POST isteklerinde parametre sayısı veya gövde uzunluğu eşiği aşan istekler ile aynı cihazdan kısa süre içinde başlayan dışa yönlü TFTP veya HTTP bağlantılarının ilişkilendirilmesi.
• Yönetim ağı dışındaki kaynaklardan GS1900 yönetim arayüzüne gelen her erişimin uyarı üretmesi.
• Ağ geçidi ve DNS kayıtlarında 6.2'deki alan adları ve IP adresleriyle eşleşen trafiğin aranması.

Zafiyet tarayıcıları (vulnerability scanner) genellikle sürüm bilgisine dayalı kontrol (version-based check) yapmaktadır. Bu tür bir kontrol yalnızca cihazın 2.90(Axxx.2)C0 veya daha eski bir sürüm çalıştırdığını göstermektedir. Başarılı istismar veya ele geçirilme kanıtı sunmamaktadır.

7. Kaynaklar

1. Zyxel - Zyxel security advisory for out-of-bounds write vulnerability in GS1900 series switches
2. Zyxel - Zyxel security advisory for stack-based buffer overflow vulnerability in GS1900 series switches
3. Zyxel - Switch GS1900 Series - V2.90 Patch 3 Firmware Release
4. Zyxel - Switch GS1900 Series - V2.90 Patch 2 Firmware Release
5. Zyxel - GS1900 Series | 8/10/16/24/48-port GbE Smart Managed Switch
6. CVE Program - CVE-2026-107441
7. CVE Program - CVE-2026-7273
8. Canadian Centre for Cyber Security - Zyxel security advisory (AV26-1114) – Update 1
9. CISA - cisagov/kev-data
10. Binarly - Pre-Auth RCE in Zyxel GS1900 Exploited in the Wild as a Zero-Day
11. Binarly - Out-of-bounds write vulnerability in Zyxel GS1900 switches allows unauthenticated remote code execution.
12. GreyNoise - Open Season on Kapibala: Attacker Steals Over 18,000 Government Records Through WordPress Exploitation
13. Acronis TRU - Red Heron exploits Gitea n-day flaw in multinational campaign, exposing new Linux rootkit
14. FIRST - Exploit Prediction Scoring System (EPSS) API