Zyxel-Lücke wird aktiv attackiert: Was KMU tun müssen

Netzwerk-Switches gelten selten als Sicherheitsrisiko. Sie stehen im Serverschrank, verteilen Datenpakete und fallen im Alltag kaum auf – genau deshalb geraten sie beim Thema Updates schnell in Vergessenheit. Die aktuelle Meldung von heise Security ist ein guter Grund, das zu ändern: Angreifer haben es derzeit aktiv auf Switches der GS1900-Serie von Zyxel abgesehen. Und die Lücke, die sie ausnutzen, ist tückischer, als es auf den ersten Blick aussieht.

Was passiert ist – in Kürze

Zyxel warnt vor der Schwachstelle CVE-2026-107441, bewertet mit einem CVSS-Wert von 8,8 und dem Risiko „hoch“. Angreifer können aus dem lokalen Netz, ohne sich anzumelden, eine präparierte HTTP-Anfrage an den Switch schicken. Ein dadurch ausgelöster Speicherfehler erlaubt es ihnen anschließend potenziell, Befehle auf Systemebene auszuführen – also die Kontrolle über das Gerät zu übernehmen. Als mögliche Folge nennt der Hersteller, dass Angreifer Zugangsdaten kopieren können.

Dass das keine theoretische Gefahr ist, zeigen Beobachtungen des Sicherheitsunternehmens GreyNoise: Bereits im September wurden 996 erfolgreich angegriffene Switches in 48 Ländern gemeldet. Dabei flossen unter anderem Gerätekonfigurationen und gehashte Root-Zugangsdaten ab. Sicherheitsforscher von Binarly haben dokumentiert, wie solche Attacken im Detail ablaufen. In welchem Umfang die Angriffe derzeit laufen, ist laut Meldung nicht bekannt – inzwischen warnt auch das kanadische Cyber Centre vor der Ausnutzung der Lücke.

Der heikle Punkt: „Wir haben doch schon gepatcht“ zählt nicht

Der wichtigste Teil dieser Nachricht steckt in der Vorgeschichte. GreyNoise hatte die beobachteten Angriffe zunächst einer älteren Schwachstelle, CVE-2026-7273, zugeordnet. Binarly stellte später fest: Der verwendete Exploit funktionierte auch auf der Firmware, die diese erste Lücke eigentlich beheben sollte. Der weiterhin ausnutzbare Fehler wird jetzt als CVE-2026-107441 geführt.

Übersetzt heißt das: Auch wenn Ihre Switches nach der ersten Warnung aktualisiert wurden, sind sie sehr wahrscheinlich weiterhin angreifbar. Erst die jetzt veröffentlichten Firmware-Versionen schließen die Lücke tatsächlich. Wer also im Herbst reagiert und sich in Sicherheit gewogen hat, muss jetzt noch einmal ran. Genau solche Fälle machen deutlich, warum Patchmanagement kein einmaliges Ereignis ist, sondern ein laufender Prozess – auch bei Geräten, die sonst niemand auf dem Schirm hat.

Was das für Ihr Firmennetz bedeutet

Drei Punkte sollten Sie aus dieser Meldung mitnehmen.

Erstens: Ein kompromittierter Switch ist kein Randproblem. Der Switch ist die Drehscheibe, über die der Datenverkehr Ihres Netzes läuft. Wer ihn kontrolliert, sitzt an einer zentralen Position – und die Meldung zeigt, dass es den Angreifern konkret um Konfigurationen und Zugangsdaten ging. Solche Informationen sind häufig der Schlüssel für weitere Schritte tiefer ins Netz.

Zweitens: „Angriff aus dem lokalen Netz“ klingt harmloser, als es ist. Der Angreifer kommt zwar nicht direkt aus dem Internet auf den Switch – aber jedes Gerät in Ihrem Netz kann als Sprungbrett dienen. Ein infizierter Arbeitsplatzrechner oder ein anderes kompromittiertes Gerät genügt als Ausgangspunkt. Die Hürde „lokales Netz“ ist in der Praxis niedriger, als viele annehmen.

Drittens: Die abgeflossenen Root-Zugangsdaten lagen gehasht vor, also nicht im Klartext. Das ist ein gewisser Schutz, aber kein Freifahrtschein – und wenn dasselbe Passwort auch an anderer Stelle verwendet wird, entsteht ein Folgeproblem weit über den einzelnen Switch hinaus.

Was Sie jetzt konkret tun sollten

1. Klären, ob Sie betroffen sind. Prüfen Sie, ob in Ihrem Netz Switches der GS1900-Serie laufen. Zyxel hat Updates für folgende Modelle veröffentlicht, die jeweils gepatchte Version steht dahinter:

• GS1900-8: 2.90(AAHH.3)C0
• GS1900-8HP: 2.90(AAHI.3)C0
• GS1900-10HP: 2.90(AAZI.3)C0
• GS1900-16: 2.90(AAHJ.3)C0
• GS1900-24: 2.90(AAHL.3)C0
• GS1900-24E: 2.90(AAHK.3)C0
• GS1900-24EP: 2.90(ABTO.3)C0
• GS1900-24HPv2: 2.90(ABTP.3)C0
• GS1900-48: 2.90(AAHN.3)C0
• GS1900-48HPv2: 2.90(ABTQ.3)C0

2. Firmware-Stand prüfen und aktualisieren. Vergleichen Sie die installierte Version mit der Liste oben und spielen Sie das Update zeitnah ein. Das gilt ausdrücklich auch dann, wenn Sie nach der ersten Lücke rund um CVE-2026-7273 bereits aktualisiert haben – dieser Schritt ist jetzt erneut fällig.

3. Geräte ohne Support ersetzen. Zyxel stellt Patches nur für Modelle bereit, die sich noch im Supportzeitraum befinden. Falls Sie ältere Geräte einsetzen, für die kein Update mehr erscheint, bleibt die Lücke dauerhaft offen. Dann gehört der Austausch auf die Agenda – nicht irgendwann, sondern zeitnah. Ob Zyxel für solche Geräte Ausnahmen oder Workarounds anbietet, geht aus der Meldung nicht hervor.

4. Zugangsdaten wechseln. Da bei den beobachteten Angriffen Konfigurationen und gehashte Root-Passwörter abgeflossen sind, ist es ratsam, die Zugangsdaten betroffener Geräte zu ändern – erst recht, wenn Sie nicht ausschließen können, dass ein Switch vor dem Patch bereits angreifbar erreichbar war. Prüfen Sie gleich mit, ob dasselbe Passwort an anderer Stelle im Einsatz ist.

5. Den Zugang zur Verwaltungsoberfläche einschränken. Die Lücke wird über HTTP-Anfragen aus dem lokalen Netz ausgenutzt. Wer die Weboberfläche seiner Switches nur aus einem separaten Management-Netz oder von festgelegten Rechnern aus erreichbar macht, verkleinert die Angriffsfläche spürbar – nicht nur für diese, sondern auch für künftige Lücken.

6. Nachhalten statt abhaken. Dokumentieren Sie, wann welches Gerät auf welchen Stand gebracht wurde. Das klingt nach Bürokratie, zahlt sich aber bei der nächsten Warnmeldung aus – und die kommt mit Sicherheit.

Was die Meldung offenlässt

Zur Einordnung gehört auch ein ehrliches „das wissen wir noch nicht“. Der aktuelle Umfang der Angriffe ist unbekannt. Die Meldung nennt zudem keine Merkmale, an denen Sie erkennen könnten, ob ein Switch bereits kompromittiert wurde. Wenn Sie einen konkreten Verdacht haben, bleibt vorerst nur, die Herstellerhinweise zu beobachten und im Zweifel Konfiguration und Zugangsdaten neu zu setzen. Auch zur Frage, wie Besitzer von Geräten außerhalb des Supportzeitraums geschützt werden können, gibt es bislang keine Antwort.

Fazit

Diese Meldung gehört nicht in die Ablage „kümmern wir uns später drum“. Die Lücke wird aktiv ausgenutzt, es gibt hunderte nachgewiesene erfolgreiche Angriffe in Dutzenden Ländern, und selbst Unternehmen, die auf die erste Warnung reagiert haben, sind nicht automatisch auf der sicheren Seite. Die gute Nachricht: Der Weg zur Absicherung ist klar – Modell prüfen, Firmware aktualisieren, Zugangsdaten wechseln, Verwaltungszugang beschränken. Wenn Sie nicht sicher sind, ob und wo in Ihrem Netz betroffene Switches laufen, ist jetzt der richtige Moment, das mit Ihrer internen IT oder Ihrem betreuenden Dienstleister zu klären.

Dieser Artikel wurde KI-unterstützt auf Basis einer Fachmeldung erstellt und vor der Veröffentlichung geprüft.