美國網路安全暨基礎設施安全局（CISA）於 2026 年 9 月 21 日將 Zyxel GS1900 系列交換器的堆疊式緩衝區溢位漏洞 CVE-2026-7273 列入已知遭利用漏洞目錄（Known Exploited Vulnerabilities, KEV）。依 CISA 與美國國家標準暨技術研究院（NIST）國家漏洞資料庫（NVD）公開資料，此漏洞的 CVSS 嚴重度評分為 8.8（滿分 10），屬高嚴重度等級，且已有勒索軟體攻擊活動利用該漏洞的紀錄。受影響產品為 Zyxel GS1900-48HPv2 交換器，韌體版本 2.90(ABTQ.1)C0 及之前版本均在其列。
漏洞技術輪廓：區域網路內可未驗證執行系統命令
綜合 Zyxel 官方安全公告與 NVD 條目，CVE-2026-7273 的問題出在交換器的 CGI 程式。攻擊者若與受害裝置位於同一個區域網路，例如連上同一個 Wi-Fi 環境，即可透過堆疊式緩衝區溢位的方式送入過長資料，進而在設備上執行作業系統層級的命令。
此漏洞的攻擊條件有幾項值得注意的特徵。第一，攻擊前不需要任何帳號或登入憑證，屬未經驗證的攻擊路徑。第二，整個攻擊過程不需要受害者執行任何操作，不存在誘導點擊之類的社交工程環節。第三，一旦利用成功，攻擊者可取得受影響系統的完整控制權，涵蓋讀取資料、竄改設定內容與中斷網路服務。
換句話說，這類漏洞的防線在於網路邊界。只要攻擊者能進入同一個區域網路，無論是透過其他遭入侵的設備橫向移動，或是直接接入內部網路，GS1900-48HPv2 的管理介面就可能成為切入點。
不過，在機率層面上，NVD 整合的漏洞利用預測評分系統（EPSS）對此漏洞給出的未來 30 天被利用機率為 2.4%。EPSS 屬於機率估計，與「是否已有實際利用紀錄」是兩回事：CVE-2026-7273 已因實際攻擊活動而被列入 KEV，這一點在風險排序上的權重高於 EPSS 分數本身。
確認是否受影響：型號與韌體版本的兩步核對
設備管理者和企業 IT 人員的第一步是清點資產。核對項目有兩個：設備型號是否為 GS1900-48HPv2，以及目前運行的韌體版本是否為 2.90(ABTQ.1)C0 或更早版本。兩者同時成立，即落在 Zyxel 官方描述的受影響範圍。
登入交換器的網頁管理介面後，系統資訊或維護頁面通常會顯示型號與韌體版本字串。若管理者手邊有多臺 GS1900 系列設備，建議逐一核對，避免僅抽查部分設備而遺漏混合部署環境中的舊機型。
第二步是更新。Zyxel 官方安全公告提供了對應的韌體更新，管理者應依公告指引將韌體升至最新版本。需要留意的是，官方公告中對此一漏洞並未另外提供個別的緩解設定，處置方式以更新韌體為主。更新完成後，應回到管理介面重新確認版本號；若畫面仍顯示 2.90(ABTQ.1)C0 或更早版本，代表更新尚未生效。
設備不在網際網路上，也要更新
一個常見的疑問是：交換器只在內部網路使用，沒有直接暴露在網際網路上，是否仍需處理。答案是需要。此漏洞的攻擊前提是攻擊者與設備位於同一網路，並不需要設備具有公開 IP。攻擊者可以先入侵同一網路內的其他主機，再橫向接觸交換器的管理介面；這也是 KEV 級漏洞在內網環境中同樣具有風險的原因。
對同時管理多項資產的企業或站長，CISA 依 BOD 26-04 發布的風險排序指引與實作指引可作為修補優先順序的參考框架。該指引的核心是先盤點資產曝險程度，再依風險高低安排更新。雲端服務環境則依適用的對應指引處理。CISA 在指引中亦載明，若某項產品沒有可用的緩解措施，建議的處置是停止使用該產品。
韌體更新之外，日常的版本盤點習慣同樣重要。與使用者端軟體相比，網路設備的韌體往往長期未更新，管理者也不易察覺設備落在受影響版本區間。定期將交換器、路由器等基礎設備納入軟體版本清單，是縮短漏洞揭露到實際修補之間空窗期的基本做法。
訊源對照與可核實邊界
本案的主要訊源有四方。Zyxel 官方安全公告界定了受影響型號與韌體版本範圍，是目前唯一具體描述受影響範圍的來源。CISA 的 KEV 條目確認了漏洞已遭實際利用，並給出聯邦機構的修補期限要求。NIST NVD 條目提供 CVSS 8.8 的評分與 EPSS 2.4% 的機率估計。至於勒索軟體利用此漏洞的攻擊活動細節，包括攻擊規模、受害對象與入侵後行為，公開資料目前未提供進一步資訊，相關細節仍有待資安廠商或執法機關後續披露。
值得注意的是，公開素材並未列出具體的修補版號門檻，亦未提供 GS1900-48HPv2 管理介面中自動更新選項的選單路徑。管理者應以 Zyxel 官方公告與設備管理介面實際顯示的內容為準，不宜以第三方轉述的版本號作為更新依據。
後續觀察
依 CISA 慣例，列入 KEV 的漏洞會附帶聯邦機構的修補時限，逾期未處理的單位將違反拘束性作業指令。對非聯邦機構的一般企業與個人使用者而言，KEV 名單本身就是實務上的高優先修補參考：名列其中的漏洞，均已有實際攻擊證據。
本次事件再次顯示，網路交換器這類「設定後就遺忘」的基礎設備，正在成為勒索軟體攻擊鏈中的一環。設備型號與韌體版本的定期盤點、管理介面的網路存取控制，以及漏洞揭露後的快速更新，構成這類設備的三層基本防護。至於 CVE-2026-7273 的實際受害案例規模，需待後續資安通報或研究報告才能進一步釐清。