Речь о неуправляемых коммутаторах, которые часто ставят «чтобы было», а потом забывают: веб-интерфейс торчит наружу, прошивка не обновлялась годами. Именно такую конфигурацию и нащупали атакующие.
Ошибка в программе dispatcher.cgi. Исследователи Binarly описывают механизм так: слишком большое значение в запросе переполняет счётчик в слоте памяти 139 и уводит его в минус, после чего открывается путь к выполнению произвольных команд. Аутентификация не нужна, права — root.
Что показывает телеметрия
GreyNoise фиксирует атаки на 996 коммутаторов в 48 странах. Binarly связывает активность с кампанией, где использовались инструменты, завязанные на Gitea, и семейства JITTERLY и SIXZUT.
Отдельно стоит история с патчем. Zyxel выпустила исправление, но оно не работало: вендор неверно определил, где именно в глобальной памяти находится проблема, и закрыл не то место. Работоспособная прошивка появилась только 22 октября 2026 года, и всё, что старше, остаётся уязвимым — даже если вы обновились «по горячим следам».
Почему это важно
Коммутатор — это не «ещё один сервис». С него видно трафик, через него можно менять VLAN и перенаправлять сессии, а с root на устройстве атакующий получает точку опоры внутри сети, которую защищают файрволы. Многие такие устройства стоят в небольших офисах, где нет отдельного человека под сеть.
Практические шаги простые: обновить прошивку до сборки от 22 октября или новее, убрать веб-интерфейс из интернета и проверить, не появились ли в конфигурации изменения, которых вы не делали. Если устройство стоит «на улице» и обновить его нельзя — менять.
These are unmanaged switches that are often installed “just in case” and then forgotten: the web interface faces the internet and the firmware has not been updated in years. That is exactly the configuration attackers found.
The flaw is in dispatcher.cgi. Binarly describes the mechanism: an oversized value in a request overflows a counter in memory slot 139 and pushes it negative, opening a path to arbitrary command execution. No authentication is required, and the privileges are root.
What telemetry shows
GreyNoise records attacks against 996 switches in 48 countries. Binarly links the activity to a campaign using Gitea-based tooling and the JITTERLY and SIXZUT families.
The patch story deserves separate mention. Zyxel shipped a fix that did not work: the vendor misidentified where in global memory the problem sat and patched the wrong place. Working firmware appeared only on 22 October 2026, and anything older remains vulnerable — even if you updated promptly.
Why it matters
A switch is not “just another service”. It sees traffic, it can change VLANs and redirect sessions, and root on the device gives an attacker a foothold inside the network that firewalls are meant to protect. Many such devices live in small offices with no dedicated network person.
The practical steps are simple: update firmware to the 22 October build or newer, take the web interface off the internet, and check the configuration for changes you did not make. If a device is exposed and cannot be updated, replace it.