Pergunte ao dono de uma clínica, de um escritório de contabilidade ou de uma pequena indústria qual é o modelo do switch que sustenta a rede dele. Quase ninguém sabe responder. O equipamento costuma ficar pendurado numa parede, atrás de uma porta que só abre quando alguém reclama de lentidão, e trabalha anos sem receber uma única atualização. Ele é, ao mesmo tempo, o item mais esquecido e o mais estratégico da infraestrutura: todo dado que a empresa produz passa por ali.
Essa mistura de importância e esquecimento acabou de cobrar o preço em escala mundial. O portal CISO Advisor noticiou que a Zyxel liberou uma correção de segurança depois que cerca de mil switches da família GS1900 foram atacados em vários países. A falha recebeu o código CVE-2026-107441 e traz uma característica que deveria tirar o sono de quem administra uma rede: o invasor não precisa de usuário nem de senha. Basta uma requisição HTTP montada sob medida contra a interface web do aparelho para que comandos sejam executados no sistema. Para o empresário, a notícia não é sobre uma marca — é sobre a senha padrão do switch e sobre o que acontece com o equipamento que ninguém olha.
O que aconteceu, sem jargão
A ordem dos fatos ajuda a medir o tamanho do problema. Em setembro, a GreyNoise divulgou um levantamento sobre uma campanha que alcançou mil switches Zyxel GS1900 distribuídos por 48 países. Na época, os pesquisadores apontaram outra vulnerabilidade como responsável, a CVE-2026-7273, que a fabricante já havia corrigido em 16 de junho, e descreveram que os criminosos conseguiram rodar um script dentro dos equipamentos.
A leitura mudou depois. Segundo a empresa de cibersegurança Binarly, aquele conjunto de mil aparelhos não caiu pela CVE-2026-7273: a porta de entrada foi a CVE-2026-107441, cuja correção saiu agora. O que os atacantes levaram embora também foi detalhado — credenciais de root em hash, arquivos de configuração e informações da rede. Itália, Estados Unidos e Taiwan reúnem a maior parte das vítimas, e a reportagem não cita o Brasil entre os três países mais atingidos, o que está longe de significar que aqui ninguém usa esse tipo de equipamento.
Por que roubar a configuração é pior do que parece
“Levaram a configuração do switch” soa inofensivo para quem não é técnico. Pense assim: a configuração é a planta baixa da sua rede. Ela mostra quais faixas de endereço existem, como as VLANs separam o setor financeiro do Wi-Fi dos visitantes, para onde apontam as rotas, quais portas estão liberadas e com quais outros equipamentos aquele switch conversa. Quem está com a planta na mão não precisa mais tatear no escuro: já sabe onde ficam o servidor de arquivos, o sistema de ponto e a estação que emite nota fiscal.
As credenciais em hash pedem a mesma atenção. Hash não é cofre: é uma forma embaralhada de guardar a senha, e senha fraca embaralhada continua fraca. Existe ferramenta pronta para testar milhões de combinações por segundo contra aquele arquivo, longe dos seus olhos e sem acionar alarme nenhum. Se a senha do switch é a mesma do firewall, do gravador de câmeras e do painel do provedor, o estrago deixa de ser um equipamento e passa a ser a operação inteira.
Os 564 que facilitaram o serviço do invasor
O detalhe mais incômodo do caso também é o mais comum nas empresas brasileiras: entre as vítimas, 564 seguiam operando com as credenciais que vêm de fábrica. Nem foi preciso quebrar hash algum, portanto — a senha estava no manual, publicada na internet, idêntica para qualquer pessoa que comprasse o mesmo modelo.
Isso não acontece por incompetência. É o resultado previsível de uma instalação feita às pressas: o técnico passa o cabo, a rede sobe, a empresa volta a trabalhar e a tela de troca de senha fica para depois. O depois nunca chega, porque o aparelho funciona — e, no raciocínio de quase todo gestor, o que funciona não pede atenção. Um projeto de rede bem executado trata essa etapa como entrega obrigatória, e não como lembrete solto na cabeça de alguém.
O que fazer nesta semana
Nenhum item da lista abaixo depende de orçamento novo. Depende de alguém assumir a tarefa e registrar o que foi feito.
- Levante o que você tem. Marca, modelo, versão de firmware e lugar físico de cada switch, roteador e ponto de acesso. Inventário em planilha já vale mais que inventário na memória de um técnico.
- Troque toda senha de fábrica. Switch, roteador, controlador de Wi-Fi, gravador das câmeras, impressora, nobreak gerenciável. Senhas diferentes para equipamentos diferentes, guardadas em um gerenciador de senhas, nunca numa planilha compartilhada com a equipe.
- Tire a administração da rua. A interface de gerenciamento não deveria estar acessível pela internet. Quando o acesso remoto é necessário, que ele passe por VPN atrás do firewall e fique restrito a quem precisa dele.
- Atualize o firmware com método. Assine o aviso de segurança do fabricante, teste fora do horário crítico e tenha o caminho de volta pronto antes de aplicar.
- Separe as redes. Visitante, câmeras, maquininha de cartão, automação e computadores da operação não precisam se ver. VLAN bem desenhada limita o alcance de um incidente.
- Defina quem olha. Equipamento sem dono é equipamento sem atualização. Esse papel pode ser interno ou terceirizado, mas precisa ter nome e precisa ter horário.
Atualizar é rotina, não evento
Repare num ponto do caso: a primeira correção foi publicada em 16 de junho e, meses depois, havia parque instalado sendo atacado mundo afora. Correção disponível não é correção aplicada. Entre o aviso do fabricante e o firmware novo rodando no seu equipamento existe um trabalho humano que alguém precisa fazer, e esse trabalho disputa espaço com a rotina de qualquer empresa.
É aí que o acompanhamento contínuo muda o jogo. Com monitoramento 24 horas, a reação deixa de depender de o usuário perceber a lentidão: tentativa de acesso fora de hora, reinício inesperado, mudança de configuração e queda de porta chegam como alerta para quem tem como agir. E o registro do que mudou, por quem e quando é o que permite responder rápido quando a pergunta vem do cliente, do convênio ou do jurídico.
Fonte: CISO Advisor — Zyxel corrige falha explorada em switches GS1900 globalmente, 2026.
A Ragnatela é especialista em switches e em cibersegurança: cuidamos do inventário dos equipamentos de rede, da troca das senhas de fábrica, da atualização de firmware em janela planejada, da separação por VLAN e do acompanhamento que avisa quando algo muda de lugar. Se você não sabe quando foi a última atualização dos seus equipamentos, já tem um bom motivo para falar com a nossa equipe e começar pelo levantamento.
Perguntas frequentes
Meus switches são de outra marca. Isso me afeta?
A falha noticiada é de uma linha específica da Zyxel, mas o comportamento que abriu a porta é comum a qualquer fabricante: equipamento com senha de fábrica, firmware antigo e painel de administração alcançável pela internet. Vale conferir o seu parque mesmo que a marca seja outra.
Como eu sei se alguém já entrou no meu switch?
Sem registro de log e sem monitoramento, é difícil afirmar. Dá para começar olhando a versão do firmware, as contas de acesso cadastradas, mudanças de configuração que ninguém reconhece e se a interface web responde pela internet. A partir daí, trocar as senhas e atualizar é o mínimo.
Trocar a senha de fábrica já resolve?
Reduz muito o caminho fácil, mas não substitui atualizar o firmware nem tirar a administração do acesso público. No caso noticiado, o ataque explorou uma falha que dispensava login e, mesmo assim, centenas de vítimas seguiam com a senha original.
Atualizar firmware pode parar a minha operação?
A atualização reinicia o equipamento, então ela pede janela combinada, cópia da configuração guardada antes e caminho de retorno definido. Feita com planejamento, cabe em minutos fora do horário crítico; deixada para nunca, o risco cresce sem aviso.
