上海企业交换机打了补丁还是中招：补丁有效性，比补丁数量更重要

结论先行：11 月 3 日公开的 CVE-2026-107441 说明了一件事——6 月那批"已修复"的固件，修的不是攻击者正在用的那个洞。GreyNoise 记录到，一名攻击者从 48 个国家的 996 台 Zyxel GS1900 交换机上取走了配置文件、root 密码哈希和网络拓扑，其中 564 台用的是出厂默认凭据。对上海企业来说，这次要核对的不是"这台交换机升到最新版了吗"，而是"我升的那一版，堵的是哪个编号"。

交换机不在安全设备的视野里。它没有 EDR、不进 SIEM、很少被漏洞扫描器覆盖，多数企业的资产台账上只有一行字：某楼层一台 24 口千兆。可它是整个办公网的汇聚点——配置里有 VLAN 划分、端口映射、管理口令哈希，拿到它，等于拿到内网的地图。

一次修错分支的补丁

时间线值得单独说。8 月 17 日前后，攻击者开始批量打 GS1900 的 Web 管理界面。当时归因是 CVE-2026-7273，CISA 在 9 月 21 日把它列入已知被利用漏洞目录——很多人就是在那时候升级的。

9 月 17 日，Binarly 的研究人员在分析攻击者服务器上一段遗留的利用脚本时发现异常：脚本里赫然写着"已打补丁固件"的目标地址——它专门去打那些升过级的设备。9 月 28 日，Binarly 确认全部 10 个"CVE-2026-7273 修复版"固件仍然可被同一份脚本攻破，而且不需要任何改动。厂商随后承认，实际被利用的是另一处缺陷，即新的 CVE-2026-107441，评分 8.8。真正的修复固件 10 月 22 日才发出。

缺陷位于 dispatcher.cgi 的参数解析逻辑：每个请求参数被复制进一个固定的全局缓冲区，但既不校验单个参数的长度，也不校验参数总数。攻击者多发几个超长参数，就能越过缓冲区、改写旁边的全局计数器，进而实现覆盖范围近乎整个进程内存的任意写。利用脚本走 GOT 覆盖这条路，一次请求即可执行系统命令，不需要任何账号。

图1：补丁与漏洞错位的两个月，攻击窗口从 8 月 17 日持续到 10 月 22 日

"已经升级"为什么不能当结论

三个月里，同一批设备经历了三种状态，风险却完全不同：

• 6 月补丁之后：厂商修的是栈溢出，实际被打的是缓冲区越界写。补丁里的两处检查都写在越界发生之后——检查时计数器已经被改掉了，等于没查。
• CISA 收录之后：进入 KEV 只说明"有人在打"，不说明"打了补丁就安全"。这次的 KEV 告警对防护实际未产生效果。
• 10 月 22 日之后：修复固件确实堵住了入口，但它不清除已经被植入的东西。关联样本包括 JITTERLY 后门与 SIXZUT rootkit，跟这次漏洞是两条独立的排查线。

还有一层容易被忽略：996 台受害者里有 564 台仍在用出厂默认口令。这意味着即便没有这个漏洞，管理界面暴露在办公网里，一样会被登进去。

三种状态，处置成本差一个量级

多数上海企业停在第二行。升到最新固件是对的，但"最新"是个会变的状态，这次恰好是"最新版仍然有洞"。

五步，从对账开始

第一步，把网络设备单独列一张表。 型号、固件完整版本号（含分支与补丁号）、管理界面在哪个网段、谁能登、上次改配置是谁改的。只记"有台交换机"的台账，做不了这件事。

第二步，按 CVE 编号对账，不按"已升级"对账。 打开厂商公告看它修的是哪个编号、影响哪些型号、修复版本号是什么。这次的关键是：6 月公告说修栈溢出，实际被打的是参数校验缺失，两个编号，两套固件。

第三步，管理面先收口，再谈升级。 交换机的 Web 界面只应从管理 VLAN 或运维跳板机访问，不对办公网段开放。这一步不依赖补丁，今天就能做，而且能挡住同类事件的绝大多数。

第四步，默认凭据清零。 逐台确认管理员口令不是出厂值、不是弱口令，也不要在多台设备上复用同一个口令——一台被拿到哈希，全网同口令的设备一起失守。

第五步，对暴露过的设备按已失陷复核。 比对配置与基线差异、查有没有非业务的管理账号、看设备是否主动外连过陌生地址。补丁止住的是新的利用，说明不了过去两个月发生过什么。

图2：五步顺序，收口排在升级之前

威丽能承接的部分

上海威丽信息科技有限公司是上海本地化的企业 IT 运维与系统集成服务商。网络设备这一层可承接：交换机、无线控制器、路由器与防火墙的资产台账建立（型号、固件分支、管理面位置、责任人）、管理 VLAN 与运维跳板改造、默认凭据与口令策略清理、固件补丁按分支分批实施、配置基线与变更留痕、暴露面核验与失陷排查。服务以 10 分钟极速响应 / 2 小时现场服务 为标准，覆盖上海全域。

三个常见误区

• "我们不是这个牌子"：同位置还有大量同架构的接入层设备，用同一套 CGI 处理表单。这次的方法论是查管理面与固件对账，与品牌无关。
• "交换机在内网，外网打不进来"：这次的利用前提只是"能访问到管理界面"，同网段的一台中毒电脑就够了。
• "升级到最新版就完事"：这次恰好证明"最新版"不等于"已修复"。版本号要对着 CVE 编号看，不是对着发布日期看。

常见问题

问：只有十几台交换机的小公司，也要做这套吗？

答：要，但可以简化。核心是三件事：管理界面不进办公网、口令不用出厂值、固件版本对着公告核一遍。三件事做完，风险就降下来了。

问：升级固件要停机吗？

答：接入层交换机升级通常需要重启，单台中断几分钟，可以安排在下班后或周末分批做。核心层要先确认冗余路径，避免整网中断。

问：怎么知道设备以前有没有被入侵过？

答：看三处：配置与基线是否一致、有没有多出来的管理账号、设备是否主动访问过陌生外网地址。任一项对不上，就按失陷流程处置，而不是只打补丁。

结语

这次事件最值得带走的一句话，不是那个 CVE 编号，而是"修复版固件同样脆弱"。补丁管理真正难的从来不是装补丁，而是确认这一版补丁对应的，正是你面临的威胁。这件事需要一张写清型号、分支、管理面和责任人的表——它不必等下一次公告才开始做。

上海威丽信息科技有限公司 · 深耕上海本地企业 IT 服务近 20 年 · 累计服务 2500+ 家企业 · 服务热线 400-880-7581 · 技术热线 021-51697581-605/610 · 官网 https://www.vilitech.com

数据来源

• Binarly 研究博客《Zyxel GS1900 Pre-Auth RCE》（CVE-2026-107441 / BRLY-2026-057，2026 年 11 月 3 日公开）
• GreyNoise 威胁活动报告（2026 年 9 月 21 日）：996 台交换机、48 个国家、564 台使用出厂默认凭据
• CISA 已知被利用漏洞目录（CVE-2026-7273，2026 年 9 月 21 日收录）
• Zyxel 安全公告与修复固件（2.90 Patch 3，2026 年 10 月 22 日发布）