CISA 把 Zyxel GS1900 交換器漏洞列入已遭利用清單：先對型號，再對韌體版本

2026 年 9 月 21 日，美國網路安全暨基礎設施安全署（CISA）發布公告，依「有實際遭到利用的證據」把 CVE-2026-7273 加進「已遭利用漏洞」（KEV）目錄，點名的是 Zyxel（繁體中文官網印為「兆勤科技」）的 GS1900 系列交換器——KEV 目錄的廠商／產品欄是「Zyxel | GS1900 Series Switches」，而 CISA 在這一筆的備註裡直接連到原廠公告，公告上有型號與韌體版本的對照表。

這一篇的資料在 2026 年 9 月 23 日查核，來源是 CISA 與 Zyxel 的四份官方頁面。下文整理公告寫了什麼、沒寫什麼，以及讀者可以自己核對的兩件事：型號與韌體版本；這裡不做任何品牌或型號的購買、換機建議。

9 月 21 日發生了什麼：這一次不一樣在哪裡

CISA 這則公告的標題是「CISA Adds One Known Exploited Vulnerability to Catalog」，頁面「Release Date」欄印出的日期是 2026 年 9 月 21 日；公告把 CVE-2026-7273——「Zyxel GS1900 Series Switches Stack-Based Buffer Overflow Vulnerability」——加進 KEV 目錄，依據是「有實際遭到利用的證據」，沒有附上證據、案例或受害者。

CISA 在 2026 年 9 月 18 日也用同一個機制加進三個 Linux 核心漏洞，KEV 目錄那三筆的廠商／產品欄印的是「Linux | Kernel」，落不到任何一台具體的機器；這一次點到的是一條硬體產品線，對得到自己手上那一台。KEV 目錄是什麼、BOD 26-04 的期限怎麼分級，文末連結的那篇已經整理過，這裡不重講；下面只講一件事：9 月 24 日這個日期，管到的是誰。

KEV 目錄對這一筆印的到期日（Due Date）是 2026 年 9 月 24 日，但公告白紙黑字寫著 BOD 26-04 只適用於美國聯邦文職行政部門（FCEB）機關；對其他所有組織，CISA 用的字是「鼓勵」（encourages），不是要求。換句話說，9 月 24 日這個日期拘束的是美國聯邦機關，不是台灣的政府機關、公司或個人。

被點名的到底是哪些機器

CISA 的 KEV 目錄寫的是整個系列的名稱，沒有列出實際型號；要知道自己那一台在不在範圍內，得看原廠公告。Zyxel 在 2026 年 6 月 16 日首次發布的公告，逐一列出受影響型號與修補版本對照表：GS1900-8、GS1900-8HP、GS1900-10HP、GS1900-16、GS1900-24、GS1900-24E、GS1900-24EP、GS1900-24HPv2、GS1900-48、GS1900-48HPv2。

原廠公告自己寫明：「未列於表中的市售產品皆不受此漏洞影響」，而修補程式只釋出給「仍在漏洞支援期間內」的型號。這兩個限定詞要一起看——保障的是目前還在售、還在漏洞支援期間內的機型；已經下市或已經超出漏洞支援期間的機種，原廠公告沒有另外交代，不能直接套用「不受影響」這句話。

這份公告，原廠同一天也發布了繁體中文版，網址只把 /global/en/ 換成 /tw/zh/，修訂紀錄同樣只有一列「2026-6-16：首次發布」；繁中版把公司名印為「兆勤科技 (Zyxel)」，型號、版本字串與限定詞都與英文版逐字對應，沒有互相矛盾。台灣讀者可以直接讀繁中版，對照下面這張表。

怎麼自己對：先看型號，再看版本

原廠對照表把型號與版本放在同一列：以 GS1900-8 為例，受影響版本是 2.90(AAHH.1)C0 及更早，修補版本是 2.90(AAHH.2)C0；其他型號的版本代碼不同，但排法相同。把整張表放在一起看可以看出一個規律——每一列的受影響版本都是同一組代碼的 .1)C0 及更早，修補版本都是同一組代碼的 .2)C0。這個規律是把對照表並排整理出來的結果，不是原廠公告寫的一句話，也不能拿去推論表外的機種。

對讀者來說，可以自己核對的動作有兩個：先看自己那一台的型號是不是在原廠列出的名單之列，再看目前的韌體版本是不是比原廠列出的修補版本舊。兩份公告都沒有寫在管理介面查詢目前韌體版本的操作步驟。

這兩個動作缺一不可：型號對上了、但版本還沒更新到修補版本，一樣落在受影響的範圍內；型號不在名單上，才適用「市售產品不受影響」那句話，而且還要是目前仍在售、仍在漏洞支援期間內的機型。

「區域網路內、未經身分驗證」是什麼意思

Zyxel 繁體中文版公告寫的是：「Zyxel GS1900 系列交換器韌體的 CGI 程式中存在堆疊緩衝區溢位漏洞。未經身分驗證的區域網路 (LAN) 攻擊者，可藉由發送特製的 HTTP 請求來觸發此漏洞，進而執行作業系統 (OS) 指令。」CISA 的英文說明是同一件事。技術粒度只寫到這裡——不解釋怎麼觸發，也不寫任何入侵指標。

以下是編輯設計的例子，用來說明「連得到」是什麼意思：一台交換器的管理介面通常只開放給同一個區域網路裡的裝置存取，例如辦公室內部網路，或是同一段 Wi-Fi；訪客 Wi-Fi 是不是跟內部網路分開、管理介面有沒有對外開放，都會影響誰「連得到」這台設備。這是背景說明，不是設定教學，底下也不會列出怎麼檢查或修改這些設定的步驟。

現在可以做的事，以及公告沒有寫的事

KEV 目錄這一筆「Action」欄，CISA 對機關的要求是：依照廠商指示採取緩解措施，並符合 BOD 26-04 與 CISA「鑑識初篩要求」的規定；雲端服務照 BOD 26-04 適用的指引處理，或在沒有可用的緩解措施時停止使用該產品。這是 CISA 對美國聯邦機關的要求，不是給一般讀者的建議。

Zyxel 原廠公告指定的求助管道，繁體中文版寫的是「請聯絡您當地的服務代表，或造訪 Zyxel 官方 中文論壇 (Community) 以獲取更多資訊或協助」；公告本身沒有附上任何韌體下載連結。

以這四份來源查核到 2026 年 9 月 23 日的內容來看，都沒有寫漏洞實際怎麼被觸發、沒有入侵指標，也沒有任何嚴重度分數。原廠六月就釋出的修補程式，到九月才被列入 CISA 目錄，兩份公告都沒有解釋這段時間差，這裡也不代為猜測。

2026 年科技新聞總整理：硬體、平台、電信與法規的重點

CISA 同一天兩則公告：三個 Linux 核心漏洞列入「已遭利用」清單

• 科技與產業
• 科技新聞