Zyxel GS1900 シリーズのスイッチで CGI にスタックバッファオーバーフロー（CVSS 8.8・KEV・是正期限 2026-09-24）

情報取得日: 2026/06/16・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-7273
製品	Zyxel / GS1900 Series Switches
CVSS	8.8（High） CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
種別 (CWE)	CWE-121 スタックベースのバッファオーバーフロー
登録／公開日	2026/06/16
KEV 期限	2026/09/24 まで（米国連邦機関向け目安）
推奨対応	ベンダーの手順に従って緩和策を適用する。緩和策が無い場合は製品の使用を停止する（CISA BOD 26-04）。
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-7273

概要

**Zyxel GS1900 シリーズのスイッチのファームウェアに含まれる CGI プログラムに、スタックベースのバッファオーバーフローがある。** LAN 側にいる認証されていない攻撃者が、細工した HTTP リクエストを送ることで OS コマンドを実行できる可能性がある。 **CVSS v3.1 基本値は 8.8（High）で、ベクタは AV:A（隣接ネットワーク）・AC:L・PR:N（認証不要）・UI:N（利用者の操作不要）。** インターネットから直接ではなく、同じ LAN からの攻撃が前提になる。ただしスイッチは LAN の内側にある機器なので、内部に足場を取られた後の横展開の対象としては条件が揃っている。 **NVD の公開は 2026年6月16日だが、CISA KEV への収載は 2026年9月21日である。** スコアは公開時から 8.8 のまま変わっておらず、変わったのは「実際に悪用が確認された」という事実のほうである。是正期限は 2026年9月24日と短い。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure は同じ対応区分です: 対象外
Linux のみ異なります: ベンダーFW更新

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	対象外	対象外。物理ネットワークスイッチのファームウェアの問題であり、AWS のマネージドサービス側に該当する構成は無い。オンプレミスと AWS を接続している環境で、拠点側のスイッチに GS1900 を使っている場合は、その機器自体を更新する必要がある。AWS 側の設定では解消しない。参照リンク
GCP	対象外	対象外。物理ネットワークスイッチのファームウェアの問題であり、GCP のマネージドサービス側に該当する構成は無い。拠点側のスイッチに GS1900 を使っている場合は、その機器自体を更新する。GCP 側の設定では解消しない。参照リンク
Azure	対象外	対象外。物理ネットワークスイッチのファームウェアの問題であり、Azure のマネージドサービス側に該当する構成は無い。拠点側のスイッチに GS1900 を使っている場合は、その機器自体を更新する。Azure 側の設定では解消しない。参照リンク
Linux	ベンダーFW更新	Zyxel が公開したファームウェアへ更新する。修正版は上記の機種別の表に従う（末尾 .2 系）。ディストリビューションのパッケージ更新では直らない。機器上で動いているのは Zyxel のファームウェアであり、Linux ディストリビューションの更新経路とは無関係である。更新は機器の管理画面またはベンダーの手順に従って行う。参照リンク

解決の方向性（パッチ／回避策／代替）

**ファームウェアを修正版へ更新する。これ以外の対処は公表されていない。** Zyxel のアドバイザリ（2026年6月16日公開）には回避策の記載が無く、修正ファームウェアへの更新のみが示されている。 **修正版は機種ごとに別の識別子を持つ。** アドバイザリの表では、GS1900-8 が 2.90(AAHH.1)C0 以前 → 2.90(AAHH.2)C0、GS1900-8HP が 2.90(AAHI.1)C0 以前 → 2.90(AAHI.2)C0、GS1900-10HP が 2.90(AAZI.1)C0 以前 → 2.90(AAZI.2)C0、GS1900-16 が 2.90(AAHJ.1)C0 以前 → 2.90(AAHJ.2)C0、GS1900-24 が 2.90(AAHL.1)C0 以前 → 2.90(AAHL.2)C0、GS1900-24E が 2.90(AAHK.1)C0 以前 → 2.90(AAHK.2)C0、GS1900-24EP が 2.90(ABTO.1)C0 以前 → 2.90(ABTO.2)C0、GS1900-24HPv2 が 2.90(ABTP.1)C0 以前 → 2.90(ABTP.2)C0、GS1900-48 が 2.90(AAHN.1)C0 以前 → 2.90(AAHN.2)C0、GS1900-48HPv2 が 2.90(ABTQ.1)C0 以前 → 2.90(ABTQ.2)C0 とされている。**末尾が .1 から .2 に上がるだけなので、型番ごとの識別子（AAHH / ABTQ など）で自分の機種の行を確認すること。** **更新までの間は、管理用 Web インターフェースへの到達経路を絞る。** AV:A・PR:N であるため、管理 VLAN からのみ到達できる構成にする、管理画面のアクセス元を制限する、といった経路側の遮断が実効的である。ただしこれらは Zyxel が公式に示した回避策ではない。

よくある質問（CVE-2026-7273）

CVE-2026-7273（GS1900 Series Switches）の影響は？

High（CVSS 8.8）に分類されるZyxel GS1900 Series Switchesの脆弱性です。**Zyxel GS1900 シリーズのスイッチのファームウェアに含まれる CGI プログラムに、スタックベースのバッファオーバーフローがある。** LAN 側にいる認証されていない攻撃者が、細工した HTTP リクエストを送ることで OS コマンドを実行できる可能性がある。 **CVSS v3.1 基本値は 8.8（High）で、ベクタは AV:A（隣接ネットワーク）・AC:L・PR:N（認証不要）・UI:N（利用者の操作不要）。** インターネットから直接ではなく、同じ LAN からの攻撃が前提になる。ただしスイッチは LAN の内側にある機器なので、内部に足場を取られた後の横展開の対象としては条件が揃っている。 **NVD の公開は 2026年6月16日だが、CISA KEV への収載は 2026年9月21日である。** スコアは公開時から 8.8 のまま変わっておらず、変わったのは「実際に悪用が確認された」という事実のほうである。是正期限は 2026年9月24日と短い。

CVE-2026-7273 の対応方法・回避策は？

自分の環境が CVE-2026-7273 の影響を受けるか確認するには？

Zyxel GS1900 Series Switches を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-7273）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-7273 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/24 です。推奨される対応: ベンダーの手順に従って緩和策を適用する。緩和策が無い場合は製品の使用を停止する（CISA BOD 26-04）。