先說結論：管理 Zyxel GS1900 系列交換器的單位應核對 CVE-2026-7273 和各型號對應的韌體修補。交換器負責讓辦公室、門市或機房設備彼此連接，受管理型號通常還有網頁管理功能。Zyxel 於 2026 年 6 月 16 日公告，特定韌體的 CGI 程式存在堆疊緩衝區溢位；CISA 於 9 月 21 日把這個編號列入已知遭利用漏洞目錄。本文在 10 月 4 日重新查核兩個官方來源。重點是區分本地網路攻擊條件與對外網路暴露、核對具體型號的修補版，而不是籠統宣稱所有 GS1900 或所有 Zyxel 裝置都已遭入侵。
背景與前因：GS1900 是 Zyxel 的交換器產品線，不同埠數和供電型號有各自的韌體識別碼。原廠公告早在六月公布修補，CISA 九月收錄 KEV，兩個日期不能混為一談。KEV 是 Known Exploited Vulnerabilities，意指有實際利用證據的漏洞目錄；被列入目錄代表應優先處理，卻不能代替一間公司的現場鑑識。若組織只看交換器外觀或系列名稱，容易漏掉已安裝但韌體長期未更新的設備；反過來，把不在原廠表格內的在售型號直接說成受害，也超出公告內容。
原因與前置條件：Zyxel 指出弱點位於交換器韌體的 CGI 程式。CGI 是網頁管理介面把請求交給設備內部程式處理的一種方式；堆疊緩衝區溢位是程式把資料寫到預留空間之外，可能破壞原本的執行狀態。原廠說在本地網路可連到相關介面的未登入攻擊者，可能藉此執行作業系統命令。『本地網路』是公告的關鍵條件，並非表示全球任何人都能直接從公開網路接觸每一台交換器；但若管理網路與一般使用者網路沒有適當隔離，內部可達性仍可能造成實際風險。
影響範圍：原廠的修補表列出 GS1900-8、8HP、10HP、16、24、24E、24EP、24HPv2、48 與 48HPv2 等型號，受影響範圍與修補檔案尾碼依型號不同。例如 GS1900-8 的 2.90(AAHH.1)C0 及更早版本對應 2.90(AAHH.2)C0；GS1900-24 的識別碼是 AAHL，不能把 AAHH 套件裝到另一型號。Zyxel 也說表格未列出的在售產品不受這項已知弱點影響。企業仍應查每台設備的確切型號、硬體修訂與韌體版號，再依原廠表格挑選正確更新，而不是從其他網站隨意下載同名檔案。
CISA 的目錄描述這是可能由本地網路未登入者利用的弱點，與 Zyxel 的產品公告方向一致。這支持對可接觸管理介面的網段優先排查，但 KEV 並沒有公開說明每個被列管交換器的所在地、攻擊成功率或特定企業資料外洩。交換器本身又可能是其他監控、電話與工控設備的連線節點，維護時要兼顧可用性；急著更新而不安排切換與備份，可能造成網路中斷。實際優先順序應同時考量韌體落後程度、管理介面可達性、設備用途及維護窗口。
你可以怎麼做：從資產清單找出所有 GS1900 型號，逐台讀取完整型號、現有韌體、管理位址、所在網段、責任人及備援關係。對照 Zyxel 六月公告的型號表，確認是否在受影響區間及對應修補版本。更新前保存交換器組態、確認版本來源與回復方案，並通知可能受影響的網路使用者；更新後從實際設備回讀韌體號，檢查埠連線、供電與管理功能。只看到檔案上傳成功，不等於重新開機後已載入修補版。若設備由外包廠商代管，要求回報具體型號與更新後版號。
網路隔離是修補前後都應檢查的控制。因原廠指明攻擊者須在本地網路，限制管理介面僅由授權管理網段接觸，可以降低無關使用者或來賓網路的可達性。應查交換器管理 VLAN、存取控制、遠端維護路徑及是否把管理介面意外轉發到其他網段；VLAN 是將同一實體網路分成邏輯區域的做法。這些配置有助於降低暴露，但不能替代安裝正確韌體。若設備已離開安全支援期或無法取得原廠更新，應聯絡原廠或維護商評估替換，不能假設隔離措施永遠足夠。
事件調查同樣需要尊重證據邊界。舊韌體表示存在待處理弱點，不直接證明交換器已被利用；CISA KEV 說明已知有人利用該 CVE，也不會自動變成某家公司受害的證據。若網路監控出現不尋常的管理介面存取、設備重啟或設定變更，應保留日誌、組態差異與時間戳，由有權限的資安及網路人員判讀。切勿為了發表補刊而公開交換器管理位址、實際設定、帳號或密碼。若沒有足夠紀錄，也應坦白標示調查限制，而非宣稱絕對沒有事件。
多據點組織可能把同系列交換器部署在總部、分店、倉庫和遠端機櫃。若只在集中管理平台搜尋仍在線的設備，離線備機或待替換裝置可能被漏掉；下次接上網路時就可能帶回舊韌體。因此台帳除了已修補設備，還應記錄暫停使用、庫存備品與無法更新設備的處置。對高度依賴網路的場域，更新排程應先測試一台代表型號，再分批處理，同時監控業務連線與供電狀態，避免因一次大規模變更造成排查困難。
仍待本地確認的事項包括：每台交換器的精確型號與韌體、管理介面所在網段、是否存在跨網段的維護通道、備援或庫存設備能否取得修補。Zyxel 公告提供受影響型號和修補尾碼，CISA 提供已知利用的優先級訊號，但兩者不會替單一組織完成盤點。若原廠日後再修訂韌體表，應重新核對最新版本；六月公告的修補號可作為這次事件的基準，不等於未來不需再更新。管理者應保留處理證據，讓下一次例行盤點可以追溯。
這篇補刊依 2026 年 6 月 16 日 Zyxel 安全公告及 CISA 9 月 21 日 KEV 收錄，於 10 月 4 日再次查核。可直接執行的事項是找出受影響的 GS1900 型號、使用正確韌體修補、確認管理網段限制與更新後版號，並保留可能有助於調查的紀錄。公開官方資料支持的是『應優先修補已知遭利用弱點』，沒有支持任何特定讀者網路已遭控制的說法；這兩種判斷需要分開。
官方來源：
- Zyxel security advisory for stack-based buffer overflow vulnerability in GS1900 series switches（Zyxel）
- Known Exploited Vulnerabilities Catalog — CVE-2026-7273（CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。