Zyxel GS1900脆弱性、CISAのKEV追加と連邦機関への木曜期限が伝えられる

LAN上の攻撃者がOSコマンドを実行する恐れ

BleepingComputerは、CISAがZyxel GS1900シリーズのスイッチに影響するCVE-2026-7273を、実際に悪用された脆弱性を集める既知悪用脆弱性（KEV）カタログへ追加したと伝えた。
同報道によれば、このスタックベースのバッファーオーバーフローにより、ローカルエリアネットワーク（LAN）上で権限を持たない攻撃者が、細工したHTTPリクエストを通じてOSコマンドを実行できる可能性があるという。

さらに、CISAは拘束力のある運用指令26-04に基づき、連邦民間行政機関（FCEB）に木曜日までの対処を指示したとされる。
CISAは継続中の攻撃に言及した一方、Zyxelは自社アドバイザリーで悪用を確認する更新をしていなかったと報じられている。

今回報じられたカタログ追加前には、Zyxelは6月16日にファームウェア更新を公開していた一方、自社アドバイザリーは悪用が確認されたことを示す更新を受けていなかった。

報道によると、CISAはCVE-2026-7273を既知悪用脆弱性（KEV）カタログに追加し、FCEB機関に木曜日までの対処を指示した。

木曜の期限が適用される機関

KEVへの追加は、ベンダー修正が利用可能な状態から、FCEB機関に対する対処要件へと報じられた位置付けを変える。
指令の適用対象はFCEB機関に限られるが、CISAは他組織にもリスクベースの管理でKEV脆弱性を優先するよう促したとされる。