Trusted Design

解説:

CVE-2026-7273は、Zyxel製GS1900シリーズスイッチのCGIプログラムにおけるスタックベースのバッファオーバーフローの脆弱性です。

1. 脆弱性の概要

Zyxel GS1900シリーズスイッチのCGIプログラムに存在するスタックベースのバッファオーバーフローの脆弱性です。隣接ネットワーク上の非認証の攻撃者が、細工されたHTTPリクエストを送信することで、OSコマンドをリモートで実行する可能性があります。

1.1 影響

細工されたHTTPリクエストを介して、認証されていない攻撃者によってOSコマンドが実行される可能性があります。

1.2 深刻度

CVSSv3.1ベーススコアは8.8であり、「高（HIGH）」に分類されます。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はOSバージョンではなく、Zyxel GS1900シリーズスイッチのファームウェアに影響します。

2.2 影響を受ける設定

Zyxel GS1900-48HPv2 ファームウェアバージョン2.90(ABTQ.1)C0以前のバージョンが影響を受けます。 Zyxel GS1900シリーズスイッチが影響対象です。

3. 影響を受けた時の兆候

影響を受けた際の兆候としては、以下が挙げられます。

• アプリケーションサーバーから非標準の宛先への新規アウトバウンド接続。
• ウェブサーバーユーザーによって/tmpまたは/var/tmpに新規ファイルが作成される。
• Sigma Ruleでは、HTTPパラメータにシェルメタ文字（例: %3B|%7C|%26%26|%60|%24%28|%0a|;|\||&&||$(()`）が含まれている場合に検知可能です。

4. 推奨対策

4.1 本対策

ベンダーが提供する修正パッチまたは更新されたファームウェアを適用することが推奨されます。Zyxelはファームウェア2.90向けの修正パッチをリリースしています。ベンダーのアドバイザリを確認してください。

4.2 暫定回避策（緩和策）

直ちにパッチを適用できない場合は、以下の緩和策を検討してください。

• 影響を受けるソフトウェアまたはコンポーネントが自身の環境に存在するかどうかを確認し、露出を特定します。
• CISAは、ベンダーの指示に従って緩和策を適用することを推奨しています。
• 悪用がないか監視を実施します。

他に解説すべき観点

• 公開日: 本脆弱性は2026年6月16日に公開されました。
• CISA KEVカタログ: 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の既知の悪用されている脆弱性（KEV）カタログに登録されており、連邦政府機関に対しては2026年9月24日までに対応が求められています。これは、本脆弱性が積極的に悪用されているか、重大なリスクと見なされていることを示唆しています。
• 関連CWE: CWE-121 (Stack-based Buffer Overflow) に関連します。

参照したサイト

• CVE-2026-7273: A stack-based buffer overflow CVSS 8.8 - Sherlock Forensics
• Known Exploited Vulnerabilities Catalog | CISA
• Zyxel「GS1900」シリーズに脆弱性 - LAN経由でOSコマンド実行のおそれ - Security NEXT