Zyxel GS1900: el parche anterior no cierra el fallo real

Un parche que no era suficiente

La historia que nos llega desde The Hacker News es un recordatorio incómodo: no todo parche cierra la puerta que dice cerrar. Según los investigadores de Binarly, los switches Zyxel GS1900 que ya habían recibido la corrección anterior del fabricante —la versión 2.90 de firmware— siguen siendo vulnerables al mismo exploit que se está usando activamente contra estos equipos. En otras palabras, la actualización que muchos administradores instalaron pensando que estaban a salvo no bloquea el vector real de ataque.

El fallo permite que cualquiera que pueda alcanzar la interfaz web de gestión del switch ejecute comandos en el dispositivo sin necesidad de autenticarse. No hace falta un usuario válido, ni una contraseña, ni un token: basta con tener acceso de red a esa interfaz. Y el resultado es ejecución de comandos con privilegios de root, es decir, control total del equipo. Zyxel ha publicado nuevo firmware para diez modelos de la familia GS1900 que sí cierra la brecha.

Por qué esto importa en una pyme

A primera vista, un switch es un componente aburrido de la red: está ahí, hace su trabajo y nadie lo mira. Pero precisamente por eso se convierte en un objetivo interesante. Un switch de acceso comprometido permite al atacante ver tráfico, manipular VLAN, redirigir comunicaciones o usar el equipo como punto de apoyo dentro de la red interna. No es el servidor de facturación, pero es la carretera por la que pasan los datos hacia ese servidor.

El detalle del firmware 2.90 es el que más debería preocuparnos como equipo de IT. Cuando un fabricante publica una corrección, la tendencia natural es marcarla como resuelta en el inventario y pasar al siguiente ticket. Este caso demuestra que esa confianza ciega es un riesgo. Un parche puede mitigar una parte del problema y dejar la puerta principal abierta. Si además el exploit ya está en uso activo, el margen de error se reduce a cero.

Qué recomendamos hacer ahora

Lo primero es identificar si tu organización tiene switches Zyxel GS1900 y en qué versión de firmware están. No basta con saber que "se actualizaron en su momento": hay que comprobar la versión exacta y contrastarla con la lista de diez modelos que Zyxel ha corregido con el nuevo firmware. Si el equipo está entre ellos, la actualización no es opcional.

• Inventario real, no de memoria: revisa modelo y versión de firmware de cada switch, incluidos los que están en armarios secundarios o en oficinas remotas.
• Actualiza al firmware nuevo: el 2.90 no es suficiente según Binarly. Aplica la versión publicada ahora por Zyxel y verifica que el equipo arranca con ella.
• Limita el acceso a la interfaz web: si la gestión del switch no necesita estar expuesta a toda la red, restringe el acceso a una VLAN de administración y a las IP del equipo de IT.
• Revisa indicios de compromiso: cambios de configuración no explicados, reglas nuevas, cuentas creadas o tráfico anómalo desde el switch hacia la red interna.
• No des por cerrado un parche sin verificación: cuando un fabricante publique una corrección crítica, comprueba si hay análisis independientes que confirmen que cubre el vector real.

Una lección que va más allá de Zyxel

Este episodio encaja con una idea que repetimos en el blog: la seguridad no es un estado que se alcanza al instalar una actualización, sino un proceso que exige verificar. En nuestro análisis sobre seguridad de cara a 2027 ya insistíamos en que la confianza debe basarse en contexto y comprobación, no en la contraseña ni en la etiqueta de "parcheado". Este caso es un ejemplo práctico de esa idea.

Para una pyme, el impacto potencial no es solo técnico. Un switch de acceso comprometido puede convertirse en la vía para llegar a los sistemas donde están los datos de clientes, la facturación o el correo. Y en muchos casos, el atacante no necesita nada sofisticado: le basta con alcanzar una interfaz web que debería haber estado segmentada. Como comentábamos en la revisión de ciberamenazas de octubre, los equipos de red y los dispositivos de borde siguen siendo un punto débil recurrente en las pymes.

El papel del equipo de IT y del proveedor

Si tu empresa no tiene un departamento de IT dedicado, este tipo de avisos son exactamente el motivo por el que conviene contar con un socio tecnológico que mantenga el inventario actualizado y revise las notas del fabricante. No se trata de instalar firmware a ciegas cada vez que aparece una versión nueva, sino de saber qué equipos tienes, qué correcciones son críticas y cuáles han sido cuestionadas por investigadores independientes.

La recomendación final es sencilla: trata la gestión de parches como un proceso con verificación, no como una casilla que se marca. Y si tienes switches Zyxel GS1900, revisa hoy la versión de firmware y el alcance de la interfaz web. El exploit está activo y el parche anterior no era la solución.

Fuente: The Hacker News. Análisis y adaptación: ForgeNEX.