Publicado el 10 noviembre 2026 · Equipo mitza.es
Los switches son los equipos que conectan los ordenadores, impresoras y puntos de acceso de una oficina. Casi nadie se acuerda de ellos hasta que fallan, y precisamente por eso es fácil que se queden sin actualizar durante años. La serie GS1900 de Zyxel son switches gestionables pensados para redes de pequeña empresa. El 3 de noviembre de 2026 Zyxel publicó un aviso de seguridad sobre un fallo en diez de ellos. Lo resumimos a fecha de 10 de noviembre de 2026, separando lo que dice el fabricante de lo que cuentan los medios.
Qué dice Zyxel
El aviso (3 de noviembre de 2026) identifica el fallo como CVE-2026-107441 y lo describe como una escritura fuera de límites en el programa CGI del firmware: un atacante de la red local, sin autenticar, podría ejecutar órdenes del sistema operativo con una petición HTTP manipulada. Zyxel recomienda instalar los parches y agradece el aviso a dos investigadores de la empresa Binarly. El aviso no dice que el fallo se esté explotando ni propone otra medida que instalar el firmware, y afirma que los productos no incluidos en su tabla no están afectados.
Por qué se dice que «el parche anterior no bastaba»
La cronología que recoge BleepingComputer (4 de noviembre) a partir de la investigación de Binarly es esta:
- Los GS1900 ya tenían un fallo anterior, CVE-2026-7273 (un desbordamiento de memoria), que Zyxel corrigió con firmware de la serie «.2». GreyNoise documentó su explotación en campaña: comprometió 996 switches en 48 países y la actividad empezó hacia el 17 de agosto. Según BleepingComputer, CISA lo añadió a su catálogo de vulnerabilidades explotadas el 21 de septiembre.
- El 28 de septiembre Binarly comprobó que el exploit seguía funcionando contra los diez firmwares ya parcheados. La corrección anterior añadía comprobaciones, pero un atacante podía esquivarlas alterando un contador de parámetros antes de que se validase.
- Binarly lo comunicó a Zyxel el 29 de septiembre y Zyxel lo confirmó el 11 de octubre.
- Según BleepingComputer, Zyxel publicó el 22 de octubre firmware nuevo que limita el tamaño de los parámetros y valida su número antes de copiar datos en memoria, y el aviso público llegó el 3 de noviembre.
¿Se está explotando CVE-2026-107441?
Aquí conviene ser precisos. El titular de BleepingComputer habla de un zero-day explotado para comprometer casi 1.000 switches, pero esa cifra y la atribución de GreyNoise corresponden a la campaña del fallo anterior (CVE-2026-7273). El aviso de Zyxel no menciona explotación del nuevo fallo, y el vínculo entre la actividad observada y CVE-2026-107441 se apoya en el análisis de Binarly, que encontró un exploit en un archivo expuesto. BleepingComputer reconoce además que no está claro si el exploit se desarrolló a propósito para esquivar las correcciones anteriores o aprovecha un fallo relacionado que esas correcciones no cubrieron. No hemos podido leer la publicación original de Binarly ni la de The Hacker News, así que damos la información como ellos la recogen.
Para una pyme, la consecuencia práctica no cambia: hay un fallo grave de ejecución de órdenes sin autenticación en un equipo de red, hay un exploit conocido y hay firmware corregido. Es una actualización prioritaria.
Modelos afectados y firmware corregido
Según el aviso de Zyxel, son vulnerables los firmwares «.2» y anteriores de los diez modelos siguientes, y la versión corregida es la «.3» de cada uno:
- GS1900-8:
2.90(AAHH.3)C0 - GS1900-8HP:
2.90(AAHI.3)C0 - GS1900-10HP:
2.90(AAZI.3)C0 - GS1900-16:
2.90(AAHJ.3)C0 - GS1900-24:
2.90(AAHL.3)C0 - GS1900-24E:
2.90(AAHK.3)C0 - GS1900-24EP:
2.90(ABTO.3)C0 - GS1900-24HPv2:
2.90(ABTP.3)C0 - GS1900-48:
2.90(AAHN.3)C0 - GS1900-48HPv2:
2.90(ABTQ.3)C0
Comprueba siempre la tabla del aviso original de Zyxel, que es la fuente que puede actualizarse, y descarga el firmware únicamente del sitio oficial del fabricante.
Qué hacer: checklist
- Identifica tus switches. Mira la etiqueta del equipo o su interfaz web para saber el modelo y la versión de firmware instalada.
- Guarda la configuración del switch antes de actualizar, por si hay que restaurarla.
- Instala el firmware corregido de tu modelo desde el portal oficial de Zyxel y planifica una ventana de corte corta: el switch se reinicia y la red se interrumpe unos minutos.
- Comprueba la versión después de reiniciar y que todos los puertos funcionan.
- No dejes la administración abierta a internet. Es una recomendación general nuestra, no de Zyxel: la interfaz web de un switch solo debería ser accesible desde una red de administración, no desde toda la oficina ni desde fuera.
- Cambia contraseñas y claves si el equipo estuvo expuesto o hay indicios de acceso. Según BleepingComputer, en la campaña del fallo anterior los atacantes recogieron configuraciones y credenciales cifradas del equipo.
- Anota el cambio en tu inventario con la fecha y la versión.
Señales de que algo no va bien
- Cambios de configuración que nadie recuerda haber hecho (VLAN, usuarios, ajustes de administración).
- Accesos a la interfaz de administración desde direcciones que no reconoces.
- Reinicios inesperados o rendimiento extraño sin causa clara.
Si ves algo así, aísla el equipo, cambia credenciales y pide ayuda a tu proveedor de informática o al INCIBE en el 017.
Lo que este caso enseña a una pyme
Los equipos de red que están «en un armario» también necesitan mantenimiento: un firmware con meses o años de antigüedad es una puerta abierta. Lo mismo hemos visto en otros equipos de borde, como la VPN de Ivanti Connect Secure, los zero-days de Citrix NetScaler o las pasarelas de correo de Cisco y FortiMail. Si quieres entender qué papel juega cada pieza de la red, tienes nuestra guía de qué es un firewall y qué necesita una pyme. Y para saber cómo priorizar los avisos de seguridad, la guía para leer un aviso y fijar plazos de parcheo.
Preguntas rápidas
¿Me afecta si tengo otro modelo de Zyxel?
El aviso solo lista los diez modelos GS1900 de la tabla y dice que los productos no incluidos no están afectados. Aun así, conviene revisar el estado del firmware de cualquier equipo de red.
¿Puedo esperar a la próxima ventana de mantenimiento?
No lo recomendamos: es un fallo de ejecución de órdenes sin autenticación, existe un exploit y la campaña del fallo anterior fue amplia. Haz la actualización cuanto antes, en un corte corto y planificado.
¿Tengo que preocuparme si el switch no tiene acceso desde internet?
El aviso habla de un atacante «de la red local», así que el riesgo principal es que alguien ya esté dentro de tu red (un equipo infectado, un invitado, una cámara comprometida). Sigue siendo recomendable actualizar y limitar quién puede entrar en la administración.
Cómo te ayudamos en Mitza
Revisamos la red de tu oficina, actualizamos el firmware de los equipos y dejamos la administración protegida y documentada. Mira cómo trabajamos en el mantenimiento informático para pymes o escríbenos desde la página de contacto.
Lectura relacionada: el fallo crítico del kernel de Linux (CVE-2026-98432) y el octavo zero-day de Chrome en 2026.
Ver también: N-able N-central y qué preguntar a tu proveedor de informática.