Zyxel GS1900: Aktiv ausgenutzte Schwachstelle in Netzwerk-Switches

Was ist passiert?

Die US-Cybersicherheitsbehörde CISA hat am 21. September CVE-2026-7273 in ihren „Known Exploited Vulnerabilities Catalog“, kurz KEV, aufgenommen. In diesem Katalog führt CISA Schwachstellen, für die belastbare Hinweise auf eine tatsächliche Ausnutzung vorliegen. Die Behörde spricht ausdrücklich von aktiver Ausnutzung. Weitere Angaben dazu, welche Organisationen, Länder oder Branchen konkret angegriffen wurden, enthält die aktuelle CISA-Mitteilung allerdings nicht.

Die eigentliche Schwachstelle ist bereits seit Juni bekannt. Hersteller Zyxel veröffentlichte am 16. Juni 2026 ein entsprechendes Sicherheits-Advisory für mehrere Modelle seiner GS1900-Serie. Betroffen ist ein Bestandteil der webbasierten Geräteverwaltung.

Technisch handelt es sich um einen sogenannten Stack Buffer Overflow. Vereinfacht gesagt verarbeitet die Software bestimmte Eingaben nicht ausreichend sicher. Eine speziell vorbereitete HTTP-Anfrage kann dadurch Speicherbereiche überschreiben und im ungünstigsten Fall ermöglichen, Befehle auf dem Betriebssystem des Switches auszuführen.

Für einen erfolgreichen Angriff ist laut Zyxel keine vorherige Anmeldung erforderlich. Der Hersteller beschreibt das Angriffsszenario allerdings als LAN-basiert: Der Angreifer muss also Zugriff auf das lokale beziehungsweise angrenzende Netzwerk haben. Die Schwachstelle ist mit einem CVSS-Wert von 8,8 von 10 Punkten als „High“ eingestuft.

Wer ist betroffen?

Nach Angaben von Zyxel sind folgende Modelle der GS1900-Serie betroffen:

• GS1900-8
• GS1900-8HP
• GS1900-10HP
• GS1900-16
• GS1900-24
• GS1900-24E
• GS1900-24EP
• GS1900-24HPv2
• GS1900-48
• GS1900-48HPv2

Je nach Modell sind Firmware-Versionen bis einschließlich der jeweiligen 2.90(...1)C0-Version verwundbar. Zyxel stellt für die unterstützten Geräte korrigierte 2.90(...2)C0-Versionen bereit. Da sich die genaue Build-Bezeichnung je nach Modell unterscheidet, sollte die installierte Firmware direkt mit der Tabelle im Hersteller-Advisory abgeglichen werden.

Wichtig ist die richtige Einordnung: Das ist nach Herstellerangaben keine Schwachstelle, die ein beliebiger Internetnutzer automatisch aus der Ferne ausnutzen kann. Der beschriebene Angriff setzt Zugriff auf das lokale Netzwerk voraus.

Das macht die Lücke jedoch nicht bedeutungslos. Ein Angreifer kann beispielsweise bereits über einen kompromittierten Arbeitsplatz, einen unsicheren Fernzugang oder ein anderes Gerät Zugang zu einem internen Netz erlangt haben. Eine Schwachstelle in der Netzwerkinfrastruktur kann dann einen weiteren Angriffsschritt ermöglichen. Das ist eine allgemeine Risikobetrachtung – CISA und Zyxel machen in den aktuellen Hinweisen keine Aussage darüber, wie die nun beobachteten Angriffe im Einzelnen ablaufen.

Warum ist das für Unternehmen und Infrastrukturbetreiber relevant?

Switches gehören zu den grundlegenden Bausteinen eines Netzwerks. Sie verbinden Computer, Server, WLAN-Systeme, Telefone, Kameras, technische Komponenten und viele weitere Geräte miteinander.

Genau deshalb geraten Netzwerkgeräte bei der Sicherheitswartung manchmal aus dem Blick: Arbeitsplatzrechner und Server werden regelmäßig aktualisiert, während Switches, Router oder Access Points jahrelang weitgehend unbemerkt ihren Dienst verrichten.

Die aktuelle CISA-Meldung zeigt, warum auch diese Geräte in ein konsequentes Patch- und Asset-Management gehören. Die Aufnahme in den KEV-Katalog bedeutet nicht nur, dass eine Schwachstelle theoretisch ausnutzbar ist. CISA verlangt für eine solche Aufnahme belastbare Hinweise auf tatsächliche Ausnutzung.

Für kommunale Einrichtungen, Unternehmen und Betreiber von Energie- oder Digitalinfrastruktur ist dabei besonders die Netzsegmentierung relevant. Unterschiedliche Bereiche – beispielsweise Büro-IT, Server, Gebäudetechnik oder technische Steuerungsnetze – sollten nicht unnötig frei miteinander kommunizieren können.

Das bedeutet ausdrücklich nicht, dass die aktuelle Zyxel-Schwachstelle mit Angriffen auf Energieversorger in Verbindung steht. Dafür gibt es in den vorliegenden offiziellen Quellen keinen Beleg. Sie ist vielmehr ein aktuelles Beispiel dafür, warum die Netzwerkinfrastruktur selbst genauso sorgfältig gewartet werden muss wie die daran angeschlossenen Systeme.

Was sollte man daraus ableiten?

Organisationen, die Geräte der GS1900-Serie einsetzen, sollten zunächst feststellen, welche Modelle und Firmware-Versionen tatsächlich vorhanden sind. Anschließend sollte das Hersteller-Advisory geprüft und die für das jeweilige Gerät vorgesehene aktualisierte Firmware installiert werden.

Ebenso wichtig ist die Frage, wer auf die Verwaltungsoberfläche eines Switches zugreifen darf. Management-Schnittstellen sollten grundsätzlich nur aus ausdrücklich vorgesehenen Administrationsnetzen erreichbar sein. Normale Arbeitsplatzgeräte, Gäste-WLANs oder nicht vertrauenswürdige Netzsegmente benötigen in der Regel keinen direkten Zugriff auf die Administration der Netzwerkinfrastruktur.

Da CISA inzwischen aktive Ausnutzung bestätigt, sollten Betreiber betroffener Geräte außerdem nicht ausschließlich an das Update denken. Bei auffälligen Konfigurationsänderungen, unbekannten Administrationszugriffen oder ungewöhnlichem Netzwerkverhalten ist eine weiterführende Prüfung sinnvoll.

Die grundsätzliche Lehre reicht über Zyxel hinaus: Switches, Router, Firewalls und WLAN-Systeme gehören in dieselben geregelten Prozesse für Inventarisierung, Firmware-Updates und Sicherheitsüberwachung wie Server und Arbeitsplatzrechner.

Handlungsempfehlungen

1. Gerätebestand prüfen: Feststellen, ob Switches der betroffenen Zyxel-GS1900-Serie eingesetzt werden.
2. Firmware-Version kontrollieren: Modell und installierten Firmware-Stand mit dem aktuellen Zyxel-Advisory abgleichen.
3. Sicherheitsupdate installieren: Für betroffene und unterstützte Modelle die von Zyxel bereitgestellte korrigierte Firmware einspielen.
4. Managementzugriff begrenzen: Weboberflächen und andere Administrationsschnittstellen nur aus definierten Management-Netzen erreichbar machen.
5. Netzsegmentierung überprüfen: Büro-IT, Gäste-Netze, Server und technische Infrastruktur soweit sinnvoll voneinander trennen und Kommunikationswege gezielt freigeben.
6. Auf Auffälligkeiten achten: Unbekannte Konfigurationsänderungen, neue Administrationszugriffe oder ungewöhnliches Verhalten eines betroffenen Switches untersuchen und bei begründetem Verdacht eine strukturierte Incident-Response einleiten.
7. Netzwerkgeräte ins Patchmanagement aufnehmen: Switches, Router, WLAN-Komponenten und vergleichbare Geräte mit Modell, Firmware-Version, Verantwortlichkeit und Supportstatus zentral dokumentieren.

Quellen

„CISA Adds One Known Exploited Vulnerability to Catalog“ – Cybersecurity and Infrastructure Security Agency (CISA), 21. September 2026.
CISA bestätigt die Aufnahme von CVE-2026-7273 in den KEV-Katalog aufgrund von Hinweisen auf aktive Ausnutzung.
CISA: Meldung zu CVE-2026-7273

„Zyxel security advisory for stack-based buffer overflow vulnerability in GS1900 series switches“ – Zyxel Networks, 16. Juni 2026.
Der Hersteller beschreibt betroffene Modelle, Angriffsvoraussetzungen und die verfügbaren korrigierten Firmware-Versionen.
Zyxel: Security Advisory zu CVE-2026-7273

„CVE-2026-7273“ – National Vulnerability Database, NIST.
Der offizielle NVD-Eintrag führt die Schwachstelle mit einem vom Hersteller vergebenen CVSS-v3.1-Wert von 8,8 und beschreibt den LAN-basierten, nicht authentifizierten Angriffsvektor.
NVD: CVE-2026-7273