MCA a exploité CVE-2026-7273 sur 996 commutateurs ZyXEL GS1900, exfiltrant des données sensibles dans 48 pays.

REX Cyber · Veille du 2026-09-22. Faits attribués à GreyNoise.

MCA a exploité CVE-2026-7273 sur 996 commutateurs ZyXEL GS1900, exfiltrant des données sensibles dans 48 pays.

Ce qui s’est passé

Les auteurs de GreyNoise rapportent les constatations suivantes :

• MCA a exploité CVE-2026-7273 sur 996 commutateurs ZyXEL GS1900, exfiltrant des données sensibles dans 48 pays.
• Le 12 juin, l’adversaire a tenté d’exploiter CVE-2026-34908, CVE-2026-34909 et CVE-2026-34910 pour obtenir RCE sur des appareils Ubiquiti non corrigés.
• Le groupe a exploité la chaîne wp2shell (CVE-2026-63030 et CVE-2026-60137) sur WordPress.

Acteurs et cibles

Acteurs rapportés

Red Heron

Cibles rapportées

Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.

Relations explicites de renseignement

• Acteurs associés : Red Heron
• Cibles associées : Albania ; Australia ; Austria ; Belarus ; Belgium ; Brazil ; British Indian Ocean Territory ; Bulgaria ; Chile ; China ; Colombia ; Costa Rica ; Czechia ; Denmark ; Estonia ; Finland ; France ; Germany ; Government and administrations ; Greece ; Guadeloupe ; Hong Kong ; Hungary ; Iceland ; India ; Iran, Islamic Republic of ; Ireland ; Italy ; Japan ; Latvia ; Lithuania ; Madagascar ; Malaysia ; Malta ; Martinique ; Monaco ; Mongolia ; Netherlands ; Norway ; Pakistan ; Panama ; Philippines ; Poland ; Portugal ; Romania ; Russian Federation ; Slovakia ; Slovenia ; South Africa ; Spain ; Sweden ; Switzerland ; Taiwan ; Technologies ; Thailand ; Ukraine ; United Arab Emirates ; United Kingdom of Great Britain and Northern Ireland ; United States of America ; Uzbekistan

Ces relations publiques sont liées au rapport. Elles peuvent décrire une activité plus large que l’événement résumé ci-dessus.

Repère temporel cité par la source : 17 September 2026.

Contexte temporel — extrait de GreyNoise : In addition to the above findings, GreyNoise discovered the MCA targeted ZyXEL GS1900 Smart Managed Switches globally with a novel exploit of CVE-2026-7273. As of 17 September 2026, this is the first publicly documented case of exploitation in the wild of this vulnerability, which is also not on the Cybersecurity and Infrastructure Security Agency (CISA) Known Exploited Vulnerabilities (KEV) catalog at the time of publication. The MCA successfully exploited and exfiltrated sensitive data from 996 ZyXEL switches across 48 countries.

Vulnérabilités associées dans les données

CVE-2022-0847, CVE-2023-54391, CVE-2026-34908, CVE-2026-34909, CVE-2026-34910, CVE-2026-54569, CVE-2026-56271, CVE-2026-60004, CVE-2026-60137, CVE-2026-63030, CVE-2026-7273, CVE-2026-79756

Ces associations de renseignement ne prouvent pas que chaque vulnérabilité a été exploitée dans cet incident. Le déroulé ci-dessus précise les faits rapportés par la source.

MITRE ATT&CK

Techniques directement associées au rapport

Aucune technique MITRE structurée directement associée à ce rapport dans les données disponibles.

Les identifiants proviennent des objets de renseignement. Les champs absents sont signalés ; aucune technique n’est ajoutée par déduction du texte.

Entités et contexte du rapport

• Pays : Malaysia ; alias : MY, MYS ; confiance : 100/100
• Région : Americas ; confiance : 100/100
• Pays : Malta ; alias : MLT, MT ; confiance : 100/100
• Région : Latin America and the Caribbean ; confiance : 100/100
• Pays : Philippines ; alias : PH, PHL ; confiance : 100/100
• Région : Southern Asia ; confiance : 100/100
• Région : Western Europe ; confiance : 100/100
• Pays : South Africa ; alias : ZA, ZAF ; confiance : 100/100
• Vulnérabilité : CVE-2026-34909 ; confiance : 80/100
• Secteur : Technologies ; alias : Bitcoin, Crypto, Cryptocurrency, Currency Exchange, IT, Information Security, Software Development, Technology, Virtual Currency, Vulnerability Research, software ; confiance : 100/100
• Pays : Martinique ; alias : MQ, MTQ ; confiance : 100/100
• Région : Australia and New Zealand ; confiance : 100/100
• Pays : France ; alias : FR, FRA ; confiance : 100/100
• Région : Sub-Saharan Africa ; confiance : 100/100
• Vulnérabilité : CVE-2026-60004 ; confiance : 80/100
• Vulnérabilité : CVE-2022-0847 ; confiance : 80/100
• Pays : United States of America ; alias : US, USA ; confiance : 100/100
• Pays : Panama ; alias : PA, PAN ; confiance : 100/100
• Pays : Monaco ; alias : MC, MCO ; confiance : 100/100
• Pays : Costa Rica ; alias : CR, CRI ; confiance : 100/100
• Pays : Pakistan ; alias : PAK, PK ; confiance : 100/100
• Région : Northern America ; confiance : 100/100
• Pays : Australia ; alias : AU, AUS ; confiance : 100/100
• Pays : Greece ; alias : GR, GRC ; confiance : 100/100
• Pays : Taiwan ; alias : TW, TWA, TWN ; confiance : 100/100
• Vulnérabilité : CVE-2023-54391 ; confiance : 80/100
• Pays : Poland ; alias : PL, POL ; confiance : 100/100
• Pays : Uzbekistan ; alias : UZ, UZB ; confiance : 100/100
• Pays : Austria ; alias : AT, AUT ; confiance : 100/100
• Pays : Mongolia ; alias : MN, MNG ; confiance : 100/100
• Vulnérabilité : CVE-2026-63030 ; confiance : 80/100
• Pays : Hungary ; alias : HU, HUN ; confiance : 100/100
• Vulnérabilité : CVE-2026-34910 ; confiance : 80/100
• Pays : Estonia ; alias : EE, EST ; confiance : 100/100
• Région : Eastern Europe ; confiance : 100/100
• Région : Eastern Asia ; confiance : 100/100
• Pays : Belgium ; alias : BE, BEL ; confiance : 100/100
• Pays : India ; alias : IN, IND ; confiance : 100/100
• Vulnérabilité : CVE-2026-34908 ; confiance : 80/100
• Région : Oceania ; confiance : 100/100
• Pays : Spain ; alias : ES, ESP ; confiance : 100/100
• Région : Europe ; confiance : 100/100
• Vulnérabilité : CVE-2026-54569 ; confiance : 80/100
• Région : Central Asia ; confiance : 100/100
• Pays : Japan ; alias : JP, JPN ; confiance : 100/100
• Pays : Sweden ; alias : SE, SWE ; confiance : 100/100
• Région : Asia ; confiance : 100/100
• Pays : Slovenia ; alias : SI, SVN ; confiance : 100/100
• Vulnérabilité : CVE-2026-60137 ; confiance : 80/100
• Région : Middle East ; confiance : 100/100
• Pays : Albania ; alias : AL, ALB ; confiance : 100/100
• Pays : Lithuania ; alias : LT, LTU ; confiance : 100/100
• Pays : Switzerland ; alias : CH, CHE ; confiance : 100/100
• Pays : Finland ; alias : FI, FIN ; confiance : 100/100
• Pays : Czechia ; alias : CZ, CZE ; confiance : 100/100
• Pays : Russian Federation ; alias : RU, RUS ; confiance : 100/100
• Pays : Denmark ; alias : DK, DNK ; confiance : 100/100
• Pays : Portugal ; alias : PRT, PT ; confiance : 100/100
• Pays : Netherlands ; alias : NL, NLD ; confiance : 100/100
• Région : Southern Europe ; confiance : 100/100
• Pays : Hong Kong ; confiance : 75/100
• Pays : Chile ; alias : CHL, CL ; confiance : 100/100
• Pays : Iceland ; alias : IS, ISL ; confiance : 100/100
• Pays : Romania ; alias : RO, ROU ; confiance : 100/100
• Pays : Madagascar ; alias : MDG, MG ; confiance : 100/100
• Région : Africa ; confiance : 100/100
• Pays : Brazil ; alias : BR, BRA ; confiance : 100/100
• Groupe d’activité : Red Heron ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
• Pays : Thailand ; alias : TH, THA ; confiance : 100/100
• Pays : Bulgaria ; alias : BG, BGR ; confiance : 100/100
• Région : South-eastern Asia ; confiance : 100/100
• Vulnérabilité : CVE-2026-56271 ; confiance : 80/100
• Pays : Germany ; alias : DE, DEU ; confiance : 100/100
• Pays : Italy ; alias : IT, ITA ; confiance : 100/100
• Pays : United Arab Emirates ; alias : AE, ARE ; confiance : 100/100
• Vulnérabilité : CVE-2026-7273 ; confiance : 80/100
• Région : Northern Europe ; confiance : 100/100
• Pays : China ; alias : CHN, CN ; confiance : 100/100
• Vulnérabilité : CVE-2026-79756 ; confiance : 80/100
• Secteur : Government and administrations ; alias : Election, Government, Voting ; confiance : 100/100
• Pays : Slovakia ; alias : SK, SVK ; confiance : 100/100
• Pays : United Kingdom of Great Britain and Northern Ireland ; alias : GB, GBR ; confiance : 100/100
• Pays : Latvia ; alias : LV, LVA ; confiance : 100/100
• Pays : Belarus ; alias : BLR, BY ; confiance : 100/100
• Pays : British Indian Ocean Territory ; alias : IO, IOT ; confiance : 100/100
• Pays : Ukraine ; alias : UA, UKR ; confiance : 100/100
• Pays : Guadeloupe ; alias : GLP, GP ; confiance : 100/100
• Pays : Iran, Islamic Republic of ; confiance : 75/100
• Pays : Ireland ; alias : IE, IRL ; confiance : 100/100
• Pays : Colombia ; alias : CO, COL ; confiance : 100/100
• Pays : Norway ; alias : NO, NOR ; confiance : 100/100

Cette liste présente les objets associés par la source. La présence d’un pays, d’un secteur, d’un outil ou d’une CVE ne suffit pas à établir son rôle dans le cas. Les acteurs et les cibles confirmés par le récit sont précisés plus haut.

Relations entre les entités nommées

Les 30 premières relations entre entités nommées sont affichées. Le JSON contient toutes les relations publiques retenues, y compris celles des IOC.

IOC et observables pour la recherche

6 valeurs typées issues des objets publics du rapport. Les valeurs ci-dessous sont neutralisées pour éviter les liens actifs. L’export CSV conserve les valeurs exactes.

Statuts de validité calculés au 2026-10-11T18:27:19+00:00, à partir du snapshot collecté. Ils doivent être réévalués avant un usage opérationnel ultérieur.

La confiance est le score de la source sur 100 ; elle n’est pas une probabilité de compromission.

Télécharger les IOC en CSV · Lire les IOC neutralisés (TXT) · Télécharger les renseignements structurés (JSON)

Comment utiliser les exports

Le CSV sert à rechercher les valeurs dans les journaux DNS, proxy, réseau et EDR selon leur type. La présence d’un observable dans un rapport ne suffit pas à justifier son blocage. Les indicateurs révoqués ou expirés sont conservés pour la recherche historique, avec leur statut.

Couverture et provenance

Rapport publié le 2026-09-22T11:40:06.751Z ; 105 objets publics et 155 relations publiques explicitement associées. Pagination complète. Une entité mentionnée n’établit pas, à elle seule, une attribution ou un ciblage. 4 patterns non pris en charge ou valeurs invalides ont été exclus de l’export. La fiche est générée automatiquement depuis les données du rapport et ses références publiques ; elle ne décrit pas un incident observé chez Gringao.

Texte de la source publique lu : extrait de 8214 caractères retenu, dans la limite de 12000 caractères. Le récit est vérifié sur cet extrait.

• Titre source : Open Season on Kapibala: Attacker Steals Over 18,000 Government Records Through WordPress Exploitation
• Types de rapport : threat-report
• Labels : chinese-speaking actor, cve-2022-0847, cve-2023-54391, cve-2026-34908, cve-2026-34909, cve-2026-34910, cve-2026-54569, cve-2026-56271, cve-2026-60004, cve-2026-60137, cve-2026-63030, cve-2026-7273, cve-2026-79756, data exfiltration, government breach, kapibala, privilege escalation, wordpress exploitation, zyxel switches
• Confiance du rapport : 50/100
• Création déclarée par la source : 2026-09-22T11:40:06.751Z
• Modification déclarée par la source : 2026-09-26T19:28:24.260Z
• Import de l’objet de renseignement : 2026-09-26T19:20:08.808Z
• Mise à jour de l’objet de renseignement : 2026-09-26T19:28:24.260Z

Le JSON rassemble les métadonnées, les alias, les attributs structurés, les références, les relations, les techniques MITRE et tous les IOC retenus. Les dates d’import et de mise à jour sont distinctes de la date d’incident.

Source

Open Season on Kapibala: Attacker Steals Over 18,000 Government Records Through WordPress Exploitation — GreyNoise.