Switches Zyxel GS1900 : le correctif précédent ne fermait pas la faille et un nouveau firmware est disponible (CVE-2026-107441)

Publié le 10 novembre 2026 · L'équipe mitza.es

Les switches sont les équipements qui relient les ordinateurs, les imprimantes et les points d'accès d'un bureau. Presque personne ne s'en souvient avant qu'ils tombent en panne, et c'est précisément pour cela qu'ils restent facilement des années sans mise à jour. La série GS1900 de Zyxel regroupe des switches administrables conçus pour les réseaux de petites entreprises. Le 3 novembre 2026, Zyxel a publié un avis de sécurité sur une faille touchant dix d'entre eux. Nous la résumons à la date du 10 novembre 2026, en séparant ce que dit le fabricant de ce que rapportent les médias.

Ce que dit Zyxel

L'avis (3 novembre 2026) identifie la faille comme CVE-2026-107441 et la décrit comme une écriture hors limites dans le programme CGI du firmware : un attaquant du réseau local, non authentifié, pourrait exécuter des commandes du système d'exploitation au moyen d'une requête HTTP manipulée. Zyxel recommande d'installer les correctifs et remercie deux chercheurs de l'entreprise Binarly de l'avoir signalée. L'avis ne dit pas que la faille est exploitée et ne propose aucune autre mesure que l'installation du firmware ; il affirme que les produits ne figurant pas dans son tableau ne sont pas concernés.

Pourquoi on dit que « le correctif précédent ne suffisait pas »

La chronologie rapportée par BleepingComputer (4 novembre) à partir de l'enquête de Binarly est la suivante :

• Les GS1900 présentaient déjà une faille antérieure, CVE-2026-7273 (un débordement de mémoire), que Zyxel a corrigée avec un firmware de la série « .2 ». GreyNoise a documenté son exploitation dans une campagne : elle a compromis 996 switches dans 48 pays et l'activité a commencé vers le 17 août. Selon BleepingComputer, CISA l'a ajoutée à son catalogue des vulnérabilités exploitées le 21 septembre.
• Le 28 septembre, Binarly a constaté que l'exploit fonctionnait toujours contre les dix firmwares déjà corrigés. La correction précédente ajoutait des vérifications, mais un attaquant pouvait les contourner en modifiant un compteur de paramètres avant qu'il ne soit validé.
• Binarly l'a signalée à Zyxel le 29 septembre et Zyxel l'a confirmée le 11 octobre.
• Selon BleepingComputer, Zyxel a publié le 22 octobre un nouveau firmware qui limite la taille des paramètres et valide leur nombre avant de copier des données en mémoire, et l'avis public est arrivé le 3 novembre.

CVE-2026-107441 est-elle exploitée ?

Ici, il faut être précis. Le titre de BleepingComputer parle d'un zero-day exploité pour compromettre près de 1 000 switches, mais ce chiffre et l'attribution de GreyNoise correspondent à la campagne de la faille précédente (CVE-2026-7273). L'avis de Zyxel ne mentionne pas d'exploitation de la nouvelle faille, et le lien entre l'activité observée et CVE-2026-107441 repose sur l'analyse de Binarly, qui a trouvé un exploit dans un fichier exposé. BleepingComputer reconnaît en outre qu'il n'est pas clair si l'exploit a été développé exprès pour contourner les corrections précédentes ou s'il tire parti d'une faille apparentée que ces corrections ne couvraient pas. Nous n'avons pas pu lire la publication originale de Binarly ni celle de The Hacker News ; nous donnons donc l'information telle qu'ils la rapportent.

Pour une PME, la conséquence pratique ne change pas : il existe une faille grave d'exécution de commandes sans authentification dans un équipement réseau, il existe un exploit connu et il existe un firmware corrigé. C'est une mise à jour prioritaire.

Modèles concernés et firmware corrigé

Selon l'avis de Zyxel, les firmwares « .2 » et antérieurs des dix modèles suivants sont vulnérables, et la version corrigée est la « .3 » de chacun :

• GS1900-8 : 2.90(AAHH.3)C0
• GS1900-8HP : 2.90(AAHI.3)C0
• GS1900-10HP : 2.90(AAZI.3)C0
• GS1900-16 : 2.90(AAHJ.3)C0
• GS1900-24 : 2.90(AAHL.3)C0
• GS1900-24E : 2.90(AAHK.3)C0
• GS1900-24EP : 2.90(ABTO.3)C0
• GS1900-24HPv2 : 2.90(ABTP.3)C0
• GS1900-48 : 2.90(AAHN.3)C0
• GS1900-48HPv2 : 2.90(ABTQ.3)C0

Consultez toujours le tableau de l'avis original de Zyxel, qui est la source susceptible d'être mise à jour, et téléchargez le firmware uniquement depuis le site officiel du fabricant.

Que faire : la checklist

1. Identifiez vos switches. Regardez l'étiquette de l'équipement ou son interface web pour connaître le modèle et la version de firmware installée.
2. Sauvegardez la configuration du switch avant de mettre à jour, au cas où il faudrait la restaurer.
3. Installez le firmware corrigé de votre modèle depuis le portail officiel de Zyxel et prévoyez une courte fenêtre de coupure : le switch redémarre et le réseau est interrompu pendant quelques minutes.
4. Vérifiez la version après le redémarrage et que tous les ports fonctionnent.
5. Ne laissez pas l'administration ouverte sur internet. C'est une recommandation générale de notre part, pas de Zyxel : l'interface web d'un switch ne devrait être accessible que depuis un réseau d'administration, pas depuis tout le bureau ni depuis l'extérieur.
6. Changez les mots de passe et les clés si l'équipement a été exposé ou s'il y a des indices d'accès. Selon BleepingComputer, dans la campagne de la faille précédente, les attaquants ont récupéré des configurations et des identifiants chiffrés de l'équipement.
7. Notez la modification dans votre inventaire, avec la date et la version.

Signes que quelque chose ne va pas

• Des changements de configuration dont personne ne se souvient (VLAN, utilisateurs, paramètres d'administration).
• Des accès à l'interface d'administration depuis des adresses que vous ne reconnaissez pas.
• Des redémarrages inattendus ou des performances étranges sans cause claire.

Si vous constatez cela, isolez l'équipement, changez les identifiants et demandez de l'aide à votre prestataire informatique ou à l'INCIBE (l'institut national espagnol de cybersécurité) au 017.

Ce que ce cas enseigne à une PME

Les équipements réseau qui sont « dans un placard » ont eux aussi besoin de maintenance : un firmware vieux de plusieurs mois ou de plusieurs années est une porte ouverte. Nous l'avons constaté sur d'autres équipements en périphérie, comme le VPN Ivanti Connect Secure, les zero-days de Citrix NetScaler ou les passerelles de messagerie de Cisco et FortiMail. Si vous voulez comprendre quel rôle joue chaque élément du réseau, vous avez notre guide qu'est-ce qu'un pare-feu et de quoi une PME a besoin. Et pour savoir comment prioriser les avis de sécurité, le guide pour lire un avis et fixer des délais de correctifs.

Questions rapides

Suis-je concerné si j'ai un autre modèle de Zyxel ?

L'avis ne liste que les dix modèles GS1900 du tableau et indique que les produits non inclus ne sont pas concernés. Il convient néanmoins de vérifier l'état du firmware de tout équipement réseau.

Puis-je attendre le prochain créneau de maintenance ?

Nous ne le recommandons pas : il s'agit d'une faille d'exécution de commandes sans authentification, un exploit existe et la campagne de la faille précédente a été vaste. Faites la mise à jour dès que possible, lors d'une coupure courte et planifiée.

Dois-je m'inquiéter si le switch n'est pas accessible depuis internet ?

L'avis parle d'un attaquant « du réseau local » ; le risque principal est donc que quelqu'un soit déjà à l'intérieur de votre réseau (un ordinateur infecté, un invité, une caméra compromise). Il reste recommandé de mettre à jour et de limiter qui peut accéder à l'administration.

Comment Mitza peut vous aider

Nous examinons le réseau de votre bureau, nous mettons à jour le firmware des équipements et nous laissons l'administration protégée et documentée. Découvrez notre façon de travailler dans la maintenance informatique pour PME ou écrivez-nous depuis la page de contact.

À lire aussi : la faille critique du noyau Linux (CVE-2026-98432) et le huitième zero-day de Chrome en 2026.

Voir aussi : N-able N-central et que demander à votre prestataire informatique.