Security Notice

"Zyxel GS1900 บัฟเฟอร์ล้น ถูกโจมตีจริง CVE-2026-7273"

โดย Ton-Or ·21 ก.ย. 2026·อ่าน 4 นาที

"ผู้ดูแล Zyxel GS1900 รุ่นที่ได้รับผลกระทบควรเร่งติดตั้งเฟิร์มแวร์แก้ไข เพราะมีการโจมตีจริงแล้ว และ CISA ระบุวันครบกำหนด 24 กันยายน 2026"

สรุปใน 1 นาที

อาการ/ปัญหา: ช่องโหว่บัฟเฟอร์ล้นใน CGI อาจเปิดให้ผู้โจมตีใน LAN ส่ง HTTP request เพื่อรันคำสั่งระบบโดยไม่ต้องยืนยันตัวตน
ใครควรอ่าน: สวิตช์ Zyxel GS1900 ทั้ง 10 รุ่นย่อยในตารางที่ยังใช้เฟิร์มแวร์รุ่นได้รับผลกระทบหรือเก่ากว่า
ทางแก้แบบสั้น: ติดตั้งเฟิร์มแวร์แก้ไขตามรหัสของแต่ละรุ่น และตรวจหาร่องรอยการบุกรุกควบคู่กับการอัปเดต

ข้ามไปขั้นตอน

พอดีไล่ฟีด CISA KEV เจอช่องโหว่ CVE-2026-7273 ในสวิตช์ Zyxel GS1900 CISA เพิ่มเข้ารายการเมื่อ 21 กันยายน 2026 เพราะมีการโจมตีจริงแล้ว ผู้ดูแลที่ใช้อุปกรณ์ตระกูลนี้ควรตรวจชื่อรุ่นย่อยและเฟิร์มแวร์เทียบกับตารางแก้ไข (ข้อมูล KEV ทางการของ CISA)

GS1900ตระกูลสวิตช์ที่ได้รับผลกระทบ

8.8CVSS 3.1 ระดับสูง

21/09/2026วันที่เพิ่มเข้า CISA KEV

24/09/2026วันครบกำหนดตาม CISA

เกิดอะไรขึ้น

ปัญหาอยู่ในโปรแกรม CGI ของเฟิร์มแวร์สวิตช์ เป็นช่องโหว่ stack-based buffer overflow หรือการเขียนข้อมูลเกินพื้นที่บัฟเฟอร์ที่จัดไว้บน stack ผู้โจมตีที่อยู่ใน LAN สามารถส่ง HTTP request ที่สร้างขึ้นเป็นพิเศษเข้ามาโดยไม่ต้องยืนยันตัวตน และอาจใช้ข้อบกพร่องนี้รันคำสั่งของระบบปฏิบัติการบนอุปกรณ์ได้ (ประกาศ Zyxel)

Zyxel ให้คะแนน CVSS 3.1 เท่ากับ 8.8 ระดับ High ในระเบียน CVE การโจมตีต้องมาจากเครือข่ายข้างเคียง มีความซับซ้อนต่ำ ไม่ต้องมีสิทธิ์เดิม และไม่ต้องให้ผู้ใช้กดอะไร ผลกระทบต่อความลับ ความถูกต้องของข้อมูล และความพร้อมใช้งานอยู่ในระดับสูงทั้งหมด ผู้ดูแลควรตรวจว่าเครื่องใดเข้าถึงบริการนี้ได้จริง การเป็นสวิตช์ภายในไม่ได้ตัดความเสี่ยงออก (ระเบียน CVE ฉบับ JSON)

ใครโดนและรุ่นที่แก้

Zyxel ออก advisory และแพตช์สำหรับช่องโหว่นี้เมื่อ 16 มิถุนายน 2026 ซึ่งเป็นคนละวันกับการเพิ่มเข้า KEV ตารางต่อไปนี้เป็นรุ่นแก้ไขตาม advisory ดังกล่าว โดยคำว่า “และก่อนหน้า” ใช้กับเฟิร์มแวร์ของรุ่นย่อยในแถวเดียวกัน ต้องเทียบทั้งชื่ออุปกรณ์และรหัสในวงเล็บให้ครบ (ตารางเฟิร์มแวร์จาก Zyxel)

รุ่นสวิตช์	เฟิร์มแวร์ที่ได้รับผลกระทบ	รุ่นแก้ไข
GS1900-8	2.90(AAHH.1)C0 และก่อนหน้า	2.90(AAHH.2)C0
GS1900-8HP	2.90(AAHI.1)C0 และก่อนหน้า	2.90(AAHI.2)C0
GS1900-10HP	2.90(AAZI.1)C0 และก่อนหน้า	2.90(AAZI.2)C0
GS1900-16	2.90(AAHJ.1)C0 และก่อนหน้า	2.90(AAHJ.2)C0
GS1900-24	2.90(AAHL.1)C0 และก่อนหน้า	2.90(AAHL.2)C0
GS1900-24E	2.90(AAHK.1)C0 และก่อนหน้า	2.90(AAHK.2)C0
GS1900-24EP	2.90(ABTO.1)C0 และก่อนหน้า	2.90(ABTO.2)C0
GS1900-24HPv2	2.90(ABTP.1)C0 และก่อนหน้า	2.90(ABTP.2)C0
GS1900-48	2.90(AAHN.1)C0 และก่อนหน้า	2.90(AAHN.2)C0
GS1900-48HPv2	2.90(ABTQ.1)C0 และก่อนหน้า	2.90(ABTQ.2)C0

ผู้ผลิตระบุว่าแพตช์ในตารางครอบคลุมรุ่นที่ยังอยู่ในช่วงสนับสนุนด้านช่องโหว่ และผลิตภัณฑ์ที่ยังวางจำหน่ายซึ่งไม่อยู่ในตารางไม่ได้รับผลกระทบจากช่องโหว่นี้ ข้อความนี้ไม่ควรนำไปเหมารวมว่าอุปกรณ์เก่าที่หมดระยะสนับสนุนปลอดภัยทั้งหมด หากระบุรุ่นไม่ได้ชัดเจนควรสอบถามฝ่ายสนับสนุนก่อนเลือกไฟล์เฟิร์มแวร์

ต้องทำอะไร

เริ่มจากบันทึกชื่อรุ่นและเฟิร์มแวร์จากอุปกรณ์จริง สำรอง configuration แล้วดาวน์โหลดเฟิร์มแวร์ให้ตรงรุ่นจากผู้ผลิต วางแผนช่วงติดตั้งโดยคำนึงถึงบริการที่ผ่านสวิตช์ หลังอัปเดตให้ตรวจเลขรุ่นอีกครั้ง พร้อมทดสอบการเข้าถึงหน้าจัดการและการเชื่อมต่อที่จำเป็น เพื่อยืนยันว่าการติดตั้งสำเร็จและค่าที่ต้องใช้ยังทำงานตามเดิม

ระหว่างเตรียมอัปเดต ข้อแนะนำทั่วไปคือจำกัดเส้นทางเข้าถึงหน้าจัดการให้เฉพาะเครื่องผู้ดูแลที่จำเป็น และตรวจว่ามีเครือข่ายผู้ใช้หรือเครือข่ายอื่นเข้าถึงได้หรือไม่ มาตรการนี้ช่วยลดพื้นที่เสี่ยง แต่ไม่ใช่ workaround ที่ Zyxel รับรองแทนแพตช์ เพราะ advisory นี้ไม่ได้ระบุวิธีแก้ขัดไว้

รายการ KEV ระบุ วันครบกำหนด 24 กันยายน 2026 และกำหนดให้ทำ forensic triage ตามแนวทาง CISA ควบคู่กับการแก้ไข ในทางปฏิบัติควรเก็บบันทึกและตรวจการเปลี่ยนแปลง configuration ที่อธิบายไม่ได้ก่อนสรุปผล การลงแพตช์ช่วยแก้ช่องโหว่ แต่ไม่ได้เป็นหลักฐานว่าอุปกรณ์ไม่เคยถูกบุกรุก ส่วนการใช้งานในแคมเปญ ransomware ยังถูกระบุว่า Unknown ไม่ควรแปลว่าไม่มีการโจมตีจริง (รายการและข้อกำหนด KEV ของ CISA)

ส่วนตัวผมให้เร่งแพตช์อุปกรณ์ที่ตรงตาราง เพราะมีหลักฐานการโจมตีจริงแล้ว ที่มา: CISA KEV, CVE-2026-7273 และ Zyxel Security Advisory ถ้ามีรายละเอียดจากประกาศเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ