Zyxel ha pubblicato il 3 novembre aggiornamenti per due vulnerabilità che coinvolgono specifici access point, dispositivi FWA7, Security Router e switch GS1900. Il CSIRT ha rilanciato gli avvisi per il pubblico italiano. Gli scenari descritti richiedono accesso alla rete locale o a un contesto di rete adiacente: non riguardano indistintamente qualsiasi dispositivo del marchio.
La prima falla, CVE-2026-76955, riguarda il componente zdp_wtp di determinati firmware. Il produttore descrive una possibilità di elevare i privilegi sul dispositivo attraverso un attacco dalla LAN. L’identificazione corretta richiede quindi modello e stringa completa del firmware, non soltanto la presenza di una rete Wi-Fi o il nome commerciale della famiglia.
Fra gli esempi della tabella ufficiale, NWA110AX passa dalla versione vulnerabile 7.12(ABTG.0)C0 alla correzione 7.12(ABTG.1)C0. Per NWA130BE il riferimento corretto è 7.40(ACIL.2)C0, mentre per NWA50AX è 7.12(ABYW.1)C0. Le sigle tra parentesi fanno parte dell’identificazione del firmware e non sono intercambiabili fra modelli diversi.
L’elenco comprende anche apparati WAX e WBE, oltre ai FWA7. Esiste un’eccezione pratica: per WAC500H il bollettino indica una hotfix disponibile su richiesta. Cercare soltanto un file pubblico da scaricare potrebbe dunque non completare la procedura prevista; in quel caso occorre rivolgersi al canale di assistenza indicato dal produttore.
La seconda vulnerabilità, CVE-2026-107441, interessa il programma CGI presente nel firmware degli switch GS1900. Zyxel descrive un possibile sfruttamento da parte di un attaccante locale non autenticato, con potenziale esecuzione di comandi del sistema operativo attraverso una richiesta appositamente costruita. Il bollettino non richiede quindi, per questo scenario, un account amministrativo già disponibile.
Le correzioni sono specifiche anche all’interno della serie. Per GS1900-8 la versione indicata è 2.90(AAHH.3)C0; per GS1900-24 è 2.90(AAHL.3)C0; per GS1900-48 è 2.90(AAHN.3)C0. La stessa revisione finale non rende identici i pacchetti: il codice del modello resta necessario per scegliere il file appropriato.
Zyxel precisa che i prodotti attualmente sul mercato non presenti nelle tabelle non risultano coinvolti nei rispettivi avvisi. È una delimitazione importante per evitare sostituzioni indiscriminate di apparati funzionanti. L’elenco del CSIRT serve a individuare l’esposizione; la tabella del produttore associa invece ciascun modello alla correzione o al percorso di supporto disponibile.
Per le reti aziendali italiane, una verifica ordinata parte dall’inventario degli apparati e dal confronto con entrambe le famiglie di bollettini. Il fatto che un access point sia stato aggiornato non prova che lo sia anche lo switch che lo collega. Sono componenti diversi, con vulnerabilità e cicli di aggiornamento distinti.
L’allerta italiana porta la sigla AL04/261103/CSIRT-ITA. Gli avvisi riguardano difetti del firmware e patch già rilasciate, non una comunicazione di disservizio generalizzato della connettività italiana. Un eventuale problema di accesso a Internet va verificato separatamente.
Per questi due casi la misura indicata dalle fonti resta l’aggiornamento dei soli prodotti vulnerabili, seguendo le istruzioni e i file ufficiali.