Switch Zyxel GS1900 na lista da CISA: o ataque vem da LAN

O que foi publicado

A Zyxel publicou em 16 de junho de 2026 um aviso sobre um estouro de pilha (stack-based buffer overflow) no programa CGI do firmware dos switches GS1900, a linha de switches gerenciáveis simples da marca, voltada a redes de pequeno e médio porte. Segundo o aviso, um atacante baseado na LAN, sem autenticação, pode executar comandos do sistema operacional do switch com uma requisição HTTP forjada. A Zyxel, como CNA, deu nota 8,8 (alta). A falha foi relatada por pesquisadores do ISCAS.

Em 21 de setembro de 2026, a CISA incluiu a falha no catálogo KEV, com prazo de 3 dias (24 de setembro de 2026) para as agências federais americanas.

Modelos e firmware

O aviso da Zyxel lista dez modelos: GS1900-8, GS1900-8HP, GS1900-10HP, GS1900-16, GS1900-24, GS1900-24E, GS1900-24EP, GS1900-24HPv2, GS1900-48 e GS1900-48HPv2. Cada um tem a sua versão corrigida. Exemplo citado no aviso: no GS1900-8, as versões até 2.90(AAHH.1)C0 são afetadas, e a correção é a 2.90(AAHH.2)C0.

Um alerta: a descrição no banco público NVD cita só o GS1900-48HPv2. O aviso do fabricante é mais amplo e é ele que vale para decidir o que atualizar. Confira o modelo e a versão de cada switch na tabela da Zyxel.

"Só da LAN" não quer dizer seguro

É tentador ler "atacante na LAN" como risco baixo. Na prática, a LAN é onde estão os computadores dos usuários, as impressoras, as câmeras e os visitantes do Wi-Fi mal segmentado. Um único computador infectado por um anexo de e-mail é um "atacante na LAN". A partir dele, o switch vira um ponto de apoio dentro da rede: um equipamento que ninguém monitora, que fica ligado o tempo todo e que vê o tráfego de todo o andar.

Se a interface web dos switches responde a partir da rede dos usuários, todos os computadores da empresa podem chegar a ela. É isso que a VLAN de gerência resolve. E ela tem um efeito colateral bom: fica fácil enxergar, nos registros do firewall entre VLANs, qualquer tentativa de acesso à gerência vinda de onde não devia, o que transforma um ataque silencioso num alerta.

A conta da VLAN de gerência

A ideia é simples: a interface de gerência dos switches (e de outros equipamentos de rede) só fica acessível numa VLAN própria, sem usuários. Os analistas chegam a ela a partir de estações ou de um servidor de salto, também dentro dessa VLAN ou com acesso controlado.

Exemplo: uma empresa com 48 switches de acesso, 26 access points gerenciados, 10 estações de administração e 4 servidores de gerência (monitoramento, backup de configuração, autenticação e servidor de salto). Usando o bloco 10.255.20.0/24 e dividindo por função com VLSM:

O plano usa 120 dos 256 endereços do /24 (46,9%) e deixa 136 livres para crescer. A calculadora VLSM refaz a divisão com os seus números.

Com a gerência separada, a regra de acesso à interface web fica clara. No roteador ou firewall entre as VLANs, só a sub-rede das estações de gerência (10.255.20.96/28, wildcard 0.0.0.15) pode abrir HTTP e HTTPS para a sub-rede dos switches. Todo o resto é bloqueado. Nos próprios GS1900, vale também restringir o acesso de gerência às mesmas origens, se o firmware permitir.

O que fazer, na ordem

1. Inventário. Liste os switches GS1900, com modelo e versão de firmware. O próprio painel web ou o sistema de monitoramento mostram isso.
2. Isolamento imediato. Enquanto o firmware não é atualizado, bloqueie o acesso à interface web a partir das VLANs de usuários. Isso pode ser feito no roteador ou firewall entre as VLANs, sem tocar nos switches.
3. Atualização. Instale a versão corrigida indicada pela Zyxel para cada modelo. Faça backup da configuração antes.
4. Revisão. Confira contas de administrador, configurações de SNMP e servidores de registro (syslog) dos switches. Um invasor pode ter mudado algo.
5. Rotina. Inclua os switches de acesso no ciclo de atualização de firmware, que muitas vezes só cobre servidores e firewalls.

Roteiro rápido

1. Encontre todos os GS1900 da rede.
2. Bloqueie a interface web a partir das redes de usuários.
3. Atualize o firmware conforme o aviso da Zyxel.
4. Crie, se ainda não existe, uma VLAN de gerência.
5. Revise contas e configurações dos switches.

Perguntas frequentes

Meus switches não são acessíveis pela internet. Preciso correr?

Sim. A falha é explorada a partir da rede local, e a CISA confirmou exploração. Um computador comprometido dentro da empresa basta.

Como saber se a interface web está exposta aos usuários?

Faça o teste do lado de quem ataca: de um computador comum da rede de usuários, tente abrir no navegador o endereço de gerência de um switch. Se a tela de login aparecer, qualquer computador da empresa chega à interface vulnerável. Repita a partir da rede de visitantes e da rede de câmeras. O resultado esperado, depois do isolamento, é a página não abrir de nenhuma delas.

Posso desligar a interface web do switch?

Se você administra os switches por outra via e o modelo permite, desligar ou restringir a interface web reduz a exposição. Mas a atualização continua necessária.

Outros switches Zyxel são afetados?

O aviso trata da série GS1900 e lista os modelos afetados. Para outras linhas, acompanhe a página de avisos de segurança da Zyxel.