合勤（Zyxel）於二零二六年十一月三日發布資安公告，指 GS1900 系列交換器韌體 CGI 程式存在越界寫入漏洞 CVE-2026-107441：區域網路內未經身分驗證的攻擊者可透過特製 HTTP 請求執行作業系統命令。十款型號須由 2.90 的「.2」組升至「.3」組修補；加拿大網絡安全中心同日後更新指公開報道顯示該 CVE 已在野利用。獨立報道指攻擊潮曾被誤歸六月已修之 CVE-2026-7273，約九百九十六台設備受影響。
Zyxel／官方：GS1900 越界寫入 CVE-2026-107441——在野攻擊曾誤歸六月舊洞；約九百九十六台；須升至 2.90 Patch 3
合勤科技（Zyxel Networks）於二零二六年十一月三日發布 GS1900 系列交換器安全公告，確認韌體 CGI 程式存在越界寫入（out-of-bounds write）漏洞，並標示為 CVE-2026-107441。官方說明：位於區域網路（LAN）內、未經身分驗證的攻擊者，可能透過特製 HTTP 請求執行作業系統命令。加拿大網絡安全中心（Canadian Centre for Cyber Security）於十一月三日發出 AV26-1114，十一月四日更新指「開源報道顯示 CVE-2026-107441 已在野利用」。BleepingComputer（十一月四日）與 SecurityWeek（十一月五日）引述 GreyNoise 與 Binarly 研究指出，八月起的入侵潮最初被歸咎於六月已修補的 CVE-2026-7273，其後證實攻擊實際利用此新洞；GreyNoise 觀測約九百九十六台設備、橫跨四十八個國家。本文已對照合勤英文／繁中官方公告、加拿大中心更新，以及上述獨立報道，來源真實性已驗證。對香港大量以 GS1900 做樓層／機房接取交換的中小企與分店網絡，屬須立刻核對韌體組別的修補項。
一、事件核心：以為「六月已修」其實仍可未認證執行命令
官方漏洞描述與影響條件
按合勤英文與繁中公告，缺陷位於 GS1900 系列交換器韌體的 CGI 程式，屬越界寫入。攻擊者須能從 LAN 觸達管理／Web 介面相關路徑，無須先登入，即可藉特製 HTTP 請求嘗試執行 OS 命令。公告列明十款仍在漏洞支援期內的型號；未列於表內的在售產品官方稱不受影響。致謝對象為 Binarly 的 Yegor Vasilenko（繁中頁）及英文頁另列 Fernando Mercês。
受影響型號與修復版本（官方表）
| 型號 | 受影響版本 | 修補版本 |
|---|---|---|
| GS1900-8 | 2.90(AAHH.2)C0 及更早 | 2.90(AAHH.3)C0 |
| GS1900-8HP | 2.90(AAHI.2)C0 及更早 | 2.90(AAHI.3)C0 |
| GS1900-10HP | 2.90(AAZI.2)C0 及更早 | 2.90(AAZI.3)C0 |
| GS1900-16 | 2.90(AAHJ.2)C0 及更早 | 2.90(AAHJ.3)C0 |
| GS1900-24 | 2.90(AAHL.2)C0 及更早 | 2.90(AAHL.3)C0 |
| GS1900-24E | 2.90(AAHK.2)C0 及更早 | 2.90(AAHK.3)C0 |
| GS1900-24EP | 2.90(ABTO.2)C0 及更早 | 2.90(ABTO.3)C0 |
| GS1900-24HPv2 | 2.90(ABTP.2)C0 及更早 | 2.90(ABTP.3)C0 |
| GS1900-48 | 2.90(AAHN.2)C0 及更早 | 2.90(AAHN.3)C0 |
| GS1900-48HPv2 | 2.90(ABTQ.2)C0 及更早 | 2.90(ABTQ.3)C0 |
重點：只升到六月針對 CVE-2026-7273 的「.2」組並不足夠；須升至各型號對應的「.3」組（報道指韌體約於十月二十二／二十三日釋出，正式公告十一月三日）。
為何會「修錯洞」：報道時間線
綜合 BleepingComputer 與 SecurityWeek 引述：
- 六月十六日：合勤為同系列發布 CVE-2026-7273（預認證緩衝區溢位）修補。
- 約八月十七日起：GreyNoise 觀測追蹤為 Kapibala 的可疑中文語系威脅行為者入侵 Zyxel 交換器；報道指約九百九十六台、四十八國，並會下載腳本蒐集設定、雜湊後的 root 憑證與網絡資訊。GreyNoise 將 Kapibala 與 Acronis 先前披露、攻擊自建 Git 服務 Gitea 的 Red Heron 活動連結。
- 九月二十一日：GreyNoise 公開時把利用歸因於 CVE-2026-7273；同日美國 CISA 將 CVE-2026-7273 列入已知利用漏洞（KEV）目錄。
- 其後 Binarly：在與 JITTERLY／SIXZUT 相關的基礎設施中找到針對 GS1900 的混淆 Python 利用碼，發現其會檢查「已針對 7273 打補丁」的韌體版本，且對十款已修 7273 的版本仍有效——亦即六月補丁無法擋住該利用。研究指攻擊者可在參數計數驗證前破壞計數器，繞過先前為防溢位而加的檢查。Binarly 九月二十九日通報合勤；合勤十月十一日確認新洞並賦予 CVE-2026-107441。SecurityWeek 引述評分為 CVSS 8.8。
- 十月下旬至十一月三日：合勤釋出限制參數長度並先驗證參數計數的新韌體；十一月三日正式公告。加拿大中心十一月四日更新確認公開報道指 107441 在野利用。
二、技術原理深度解析
越界寫入如何變成「未登入即可跑命令」
Web 管理介面的 CGI 負責解析 HTTP 參數。若程式在複製參數到固定緩衝區前，未正確限制長度或未先核對參數個數，攻擊者可寫穿相鄰記憶體，進而劫持控制流或注入可執行路徑。合勤將本案獨立於 CVE-2026-7273，因利用亦濫用「HTTP 參數長度缺少驗證」；新修補同時限制參數大小，並在拷貝前驗證參數計數。
「已修 7273」為何仍中招
六月修補針對的是已知緩衝區溢位路徑，加了溢位檢查。Binarly 分析（經報道引述）指出，利用可先破壞參數計數，使檢查失效，再完成記憶體覆寫。對運維而言，這代表：KEV 上的舊 CVE 編號＋「版本已升」勾選，不足以證明當前威脅模型已關閉——尤其當在野利用其實打的是另一條、當時尚未編號的路徑。
暴露面：LAN 未認證仍屬高風險
官方條件寫「LAN-based」。實務上，訪客 Wi-Fi 誤入管理 VLAN、辦公室未分段、或遠端維護把管理面橋到可達網段，都會把「理論上的內網」變成可觸達面。交換器一旦被植入或抽走設定與憑證雜湊，攻擊者可取得網絡拓樸與後續橫向移動的材料，影響往往大於單機拒絕服務。
三、日常應用場景
1. 開發者與技術團隊
立即盤點所有 GS1900 型號與 show version／管理頁韌體字串：若仍為 2.90 的「.2」組或更早，排程升至表列「.3」組；升級前後備份設定，並檢查是否有異常 CGI／HTTP 管理流量、陌生帳號或非預期設定變更。管理 VLAN 應與用戶／IoT 網段隔離，管理介面來源 IP 白名單化。
2. 企業與隱私敏感行業
樓層交換器常承載門禁、印表機、電話與辦公電腦。若設定與雜湊憑證外流，攻擊者可偽造設備身分或推算弱口令。金融、法律、醫療與持牌機構應把此次升級寫入變更窗口，並覆核承辦商遠端維護通道是否過度暴露管理面；第三方維護帳號密碼應輪替。
3. 一般用戶／中小企
分店、工作室、共用辦公室若使用 GS1900-8／24／48 等型號，可請網管或維護商對照上表核對版本，不要只問「有沒有打過六月那個洞」。訪客網絡與內部交換管理必須分開；不要把交換器管理頁對全公司或互聯網開放。
4. 香港與亞洲市場視角
合勤交換器在本港中小企、零售多店與工商廈配線間相當常見，不少設備長期停在同一大版本組別。CVE-2026-107441 的教訓對香港團隊尤其實際：國際同業可能已因舊 CVE 的 KEV 而「打過勾」，但真正在野的利用打的是新洞。對受《個人資料（私隱）條例》約束、或以分店網絡承接客戶流量的機構，可把「韌體是否已至 .3 組、管理面是否分段」寫進供應商與內部資安問卷。
四、專業評價與潛在考量
優勢（可取之處）
- 廠商公告列出型號與精確韌體字串，運維可對表執行，爭議空間小。
- 獨立研究把「誤歸舊 CVE」說清楚，避免企業停在錯誤安全感。
- 加拿大中心以更新確認在野利用訊號，補強官方公告未詳述攻擊細節時的優先級判斷。
需要留意的地方
- 合勤英文公告正文未詳列 CVSS 與在野情節；攻擊規模與行為者歸因主要來自 GreyNoise／Binarly 及媒體引述，解讀時應標明來源層級。
- 「LAN-based」不代表低風險——VLAN 設計不良時等同暴露。
- 僅升級交換器不夠：若八月以來曾中招，應假設設定與憑證可能已外流，須輪替相關密碼並檢查下游系統。
- CISA KEV 當時掛的是 CVE-2026-7273；處置清單應同時關閉 107441 對應的 .3 韌體，而非只對舊編號打勾。
結語
CVE-2026-107441 提醒一條常見運維陷阱：威脅情報與 KEV 上的「舊洞編號」不一定等於攻擊者實際打中的路徑。合勤十一月三日要求 GS1900 十款型號升至 2.90「.3」組，加拿大中心翌日確認公開報道指該洞已在野利用；獨立研究則說明六月修補擋不住後來的利用碼。香港仍在用 GS1900 做接取層的團隊，應立刻對表升級、收斂管理面，並檢查是否已有異常維護痕跡。若你的機構正在做辦公室／分店網絡分段、交換器與防火牆暴露面治理，或雲端與內網一體的資安加固，可參考 YSK Limited 的香港雲端遷移與網絡安全服務，把韌體治理、網段隔離與偵測做成可驗證的工程項。
參考來源
- Zyxel 官方資安公告（英文，2026-11-03）：Out-of-bounds write vulnerability in GS1900 series switches
- Zyxel 官方資安公告（繁中，CVE-2026-107441，2026-11-03）：GS1900 系列交換器越界寫入漏洞安全公告
- Canadian Centre for Cyber Security AV26-1114（2026-11-03，Updated 2026-11-04）：Zyxel security advisory (AV26-1114) – Update 1
- BleepingComputer（2026-11-04）：Zyxel fixes zero-day exploited to hack nearly 1,000 network switches
- SecurityWeek（2026-11-05）：Zyxel Switch Hacks Blamed on Patched Flaw Actually Exploited a Zero-Day