網通設備廠商Zyxel於2026年11月3日發布安全公告，指出GS1900系列交換器存在高風險越界寫入漏洞。攻擊者若能連接受影響設備所在的區域網路，可能在未經身分驗證的情況下，透過特製HTTP請求執行系統命令。使用相關設備的機關與企業應儘速確認韌體版本。

【事件經過】

本次漏洞編號為CVE-2026-107441，問題存在於GS1900系列交換器韌體的CGI程式。由於程式未能正確處理特定記憶體寫入操作，攻擊者可能藉由精心設計的HTTP請求觸發越界寫入，進一步執行作業系統命令。

Zyxel表示，已完成受影響型號調查，並針對仍在弱點修補支援期間的10款GS1900交換器發布安全更新。

此漏洞的利用前提是攻擊者能從區域網路存取設備，並非所有網際網路使用者都能直接攻擊。不過，已取得內部網路存取權限的攻擊者，仍可能利用此弱點擴大影響範圍。

【影響範圍】

受影響產品包含GS1900-8、8HP、10HP、16、24、24E、24EP、24HPv2、48及48HPv2，共10款交換器。

上述型號使用2.90 Patch 2或更早的對應韌體版本時可能受到影響，Zyxel已分別提供2.90 Patch 3修補版本。

Zyxel原始公告未提供CVSS分數；依Tenable與歐盟漏洞資料庫資訊，CVE-2026-107441的CVSS v3.1評分為8.8，屬高風險漏洞。

由於各型號使用不同的韌體識別碼，實際修補版本須依官方型號對照表確認，不能將不同機型的韌體交互使用。

【建議措施】

管理人員應先盤點交換器型號、韌體版本、管理IP及部署位置，確認是否位於官方公告的受影響範圍。

符合條件的設備應透過Zyxel官方更新管道下載對應韌體。更新前須備份設備設定，確認維護時段與網路備援安排；更新後檢查管理登入、VLAN、連接埠及網路通訊功能。

此外，應限制交換器管理介面僅允許授權管理主機存取，透過管理VLAN、防火牆規則或存取控制清單降低暴露風險。

【國內機關與企業之影響與因應】

本次漏洞由台灣網通設備廠商Zyxel發布公告，但原文未提供國內受害案例或實際受影響設備數量。

對部署交換器於辦公網路、資料中心或營運環境的組織，建議將網通設備納入資產清冊與定期弱點管理，並依組態基準（GCB）檢查管理服務、存取權限及不必要的網路開放設定。

【新聞出處】

原文標題：Zyxel GS1900系列交換器存在越界寫入漏洞，攻擊者不需通過身分驗證就能執行作業系統命令

媒體名稱：iThome

發布日期：2026年11月5日

原文網址：
https://www.ithome.com.tw/news/180252

官方補充資料：Zyxel GS1900系列交換器越界寫入漏洞安全公告

發布機構：Zyxel Networks

公告日期：2026年11月3日

官方網址：
https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-out-of-bounds-write-vulnerability-in-gs1900-series-switches-11-03-2026