O nouă alertă de securitate emisă de CISA (Cybersecurity and Infrastructure Security Agency) vizează camerele de supraveghere CCTV fabricate de KMW, companie cu sediul în România. Vulnerabilitatea, catalogată drept critică cu scor CVSS 9.1, permite atacatorilor să reseteze parola fără autentificare și să preia complet controlul asupra dispozitivului.
Ce vulnerabilitate a fost descoperită?
Identificată sub codul CVE-2026-5386, breșa de securitate constă într-un mecanism nesigur de resetare a parolei. Un atacator poate trimite o cerere către cameră fără a fi autentificat și poate schimba parola de administrare practic instantaneu. Odată obținut accesul, acesta poate vizualiza fluxurile video live, poate modifica setările de configurare și poate chiar redirecționa imaginile către servere proprii.
Ce modele sunt afectate?
Potrivit avizului CISA, sunt vulnerabile următoarele versiuni de firmware:
- KM-IP521 – versiunea IPCAM_V4.04.91.230307
- KM-IP421 – versiunea IPCAM_V4.04.53.210416
Aceste modele sunt utilizate pe scară largă în sectoare critice precum facilități comerciale, servicii guvernamentale, industria financiară și transporturi, fiind prezente la nivel global.
Impact și riscuri
Exploatarea cu succes a acestei vulnerabilități poate duce la pierderea confidențialității datelor video, compromiterea securității fizice a spațiilor supravegheate și chiar la utilizarea camerelor ca punct de intrare în rețeaua internă a organizației. Deoarece KMW are sediul în România, utilizatorii locali sunt direct vizați și ar trebui să acorde prioritate actualizărilor.
Ce recomandă CISA?
Proprietarii și administratorii acestor camere trebuie să contacteze imediat producătorul (KMW) pentru a solicita un patch de securitate. Până la remediere, se recomandă:
- Izolarea camerelor de rețelele externe, dacă este posibil;
- Limitarea accesului doar la IP-uri de încredere prin firewall;
- Monitorizarea traficului neobișnuit către dispozitive.
Actualizarea firmware-ului la cea mai recentă versiune oferită de KMW este singura soluție definitivă. Deși compania nu a publicat încă un comunicat oficial, utilizatorii sunt sfătuiți să verifice periodic site-ul producătorului pentru anunțuri.