미국 사이버보안 인프라 보안국(CISA)이 Zyxel GS1900 시리즈 스위치에서 발견된 심각한 취약점(CVE-2026-7273)이 실제로 악용되고 있다고 밝혔습니다. 이 취약점은 네트워크 장비의 소프트웨어 오류(스택 기반 버퍼 오버플로)로 인해, 공격자가 특별한 권한 없이도 악성 HTTP 요청만으로 시스템 명령을 실행할 수 있게 합니다. 위협 정보 기업 GreyNoise에 따르면 중국어권으로 추정되는 공격자가 이미 48개국에서 약 1,000대의 Zyxel 스위치를 침해해 민감한 데이터를 탈취했습니다. CISA는 미국 연방 민간 행정부(FCEB) 기관에 이번 주 목요일까지 패치를 완료하도록 명령했으며, 모든 조직에도 즉시 펌웨어 업그레이드를 권고하고 있습니다. Zyxel은 6월 16일에 이미 보안 업데이트를 배포한 상태이므로, GS1900 시리즈 장비를 사용 중인 기업은 즉각 패치를 적용해야 합니다.
중국어권으로 추정되는 공격자가 CVE-2026-7273 취약점을 악용해 48개국 996대의 Zyxel GS1900 시리즈 스위치를 침해하고 민감한 데이터를 탈취했다. CISA는 이 취약점을 KEV(실제 악용 확인 목록)에 등재했다.
인증 없이 LAN에 접근 가능한 공격자가 악성 HTTP 요청만으로 OS 명령을 실행할 수 있으며, 실제 데이터 유출 피해가 전 세계적으로 확인됐다. Zyxel 제품은 전 세계 ISP가 기본 장비로 제공하는 경우가 많아 피해 범위가 넓다.
CGI 프로그램 내 스택 기반 버퍼 오버플로(Stack-Based Buffer Overflow) 취약점으로, 권한 없는 LAN 사용자도 악성 HTTP 요청을 통해 OS 명령을 실행할 수 있다.
Zyxel은 2026년 6월 16일 펌웨어 업데이트를 배포했다. CISA는 FCEB 기관에 BOD 26-04에 따라 이번 주 목요일까지 패치 적용을 의무화했으며, 모든 조직에도 즉각적인 KEV 목록 기반 취약점 우선 패치를 권고했다.
GS1900 시리즈 스위치를 사용 중인 기업은 즉시 각 모델의 최신 펌웨어(예: GS1900-8의 경우 2.90(AAHH.2)C0)로 업그레이드해야 한다. 수명 종료(EoL) 장비(CVE-2024-40891 영향 라우터 등)는 패치가 제공되지 않으므로 신규 제품으로 교체를 검토해야 한다.
본문
미국 사이버보안 인프라 보안국(CISA)에 따르면, 공격자들이 현재 Zyxel GS1900 시리즈 스위치의 고심각도 취약점을 적극적으로 악용하고 있습니다.
해당 취약점(CVE-2026-7273)은 CGI 프로그램의 스택 기반 버퍼 오버플로(Stack-Based Buffer Overflow)에서 비롯되며, 로컬 네트워크(LAN)에서 권한이 없는 위협 행위자도 악성으로 조작된 HTTP 요청을 통해 OS 명령을 실행할 수 있습니다.
Zyxel은 6월 16일 이 문제를 해결하는 보안 업데이트를 배포하고, 고객들에게 "최적의 보호"를 위해 펌웨어를 업그레이드하도록 권고했습니다.
Zyxel은 아직 자사 보안 권고문에 이 취약점의 실제 악용 사실을 확인하지 않았지만, CISA는 월요일에 CVE-2026-7273을 KEV(Known Exploited Vulnerabilities, 실제 악용 확인 취약점) 카탈로그에 추가했습니다. 또한 BOD(Binding Operational Directive) 26-04에 따라 연방 민간 행정부(FCEB) 기관에 목요일까지 진행 중인 공격으로부터 스위치를 보호하도록 명령했습니다.
CISA는 "이러한 유형의 취약점은 악의적인 사이버 행위자들이 자주 사용하는 공격 경로이며, 연방 기업 환경에 상당한 위험을 초래한다"고 밝혔습니다.
"BOD 26-04는 FCEB 기관에만 적용되지만, CISA는 모든 조직이 위험 기반의 취약점 관리를 채택하고 KEV 카탈로그 취약점의 패치를 우선시할 것을 권장합니다."
| 영향받는 모델 | 영향받는 버전 | 패치 가용성 |
|---|---|---|
| GS1900-8 | 2.90(AAHH.1)C0 및 이전 버전 | 2.90(AAHH.2)C0 |
| GS1900-8HP | 2.90(AAHI.1)C0 및 이전 버전 | 2.90(AAHI.2)C0 |
| GS1900-10HP | 2.90(AAZI.1)C0 및 이전 버전 | 2.90(AAZI.2)C0 |
| GS1900-16 | 2.90(AAHJ.1)C0 및 이전 버전 | 2.90(AAHJ.2)C0 |
| GS1900-24 | 2.90(AAHL.1)C0 및 이전 버전 | 2.90(AAHL.2)C0 |
| GS1900-24E | 2.90(AAHK.1)C0 및 이전 버전 | 2.90(AAHK.2)C0 |
| GS1900-24EP | 2.90(ABTO.1)C0 및 이전 버전 | 2.90(ABTO.2)C0 |
| GS1900-24HPv2 | 2.90(ABTP.1)C0 및 이전 버전 | 2.90(ABTP.2)C0 |
| GS1900-48 | 2.90(AAHN.1)C0 및 이전 버전 | 2.90(AAHN.2)C0 |
| GS1900-48HPv2 | 2.90(ABTQ.1)C0 및 이전 버전 | 2.90(ABTQ.2)C0 |
CISA가 CVE-2026-7273 악용 공격에 대한 상세 내용을 공개하지 않은 가운데, 위협 인텔리전스 기업 GreyNoise는 월요일 보고서에서 지난 목요일 처음으로 악용 징후를 포착했다고 밝혔습니다.
GreyNoise에 따르면, 중국어권으로 추정되는 악의적 사이버 행위자(MCA)가 광범위한 소프트웨어 및 기술 제품에 영향을 미치는 수십 개의 다른 취약점을 표적으로 한 캠페인의 일환으로 거의 1,000대의 Zyxel GS1900 스위치를 침해했습니다.
"GreyNoise는 해당 MCA가 CVE-2026-7273의 새로운 익스플로잇을 통해 전 세계 ZyXEL GS1900 Smart Managed Switch를 표적으로 삼은 것을 발견했습니다. 2026년 9월 17일 기준, 이는 이 취약점의 실제 악용이 공개적으로 문서화된 최초의 사례입니다."라고 밝혔습니다. "MCA는 48개국의 ZyXEL 스위치 996대로부터 민감한 데이터를 성공적으로 탈취했습니다."
Zyxel 장비는 전 세계 많은 인터넷 서비스 제공업체(ISP)가 새로운 인터넷 서비스 계약 시 기본 장비로 제공하기 때문에 자주 표적이 됩니다.
지난 2월, Zyxel은 온라인에서 여전히 판매 중인 수명 종료(End-of-Life) 라우터에 영향을 미치는 두 건의 제로데이 버그(CVE-2024-40891 및 CVE-2024-40891)를 패치할 계획이 없다고 경고한 바 있습니다. 대신, 이미 펌웨어가 패치된 신제품으로 라우터를 교체할 것을 "강력히" 권고했습니다.
CISA는 현재 실제로 악용되었거나 여전히 악용 중인 Zyxel의 라우터, 스위치, 방화벽, NAS 장치에 영향을 미치는 13개의 Zyxel 취약점을 추적 중입니다.
Zyxel은 전 세계 150개 시장에서 100만 개 이상의 기업이 자사 네트워킹 솔루션을 사용하고 있다고 밝히고 있습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
