Hikvision a publicat în această vară un nou set de avertizări de securitate pentru camerele sale IP, iar în septembrie a urmat un al doilea pachet, de data aceasta pentru interfoane, software-ul de control acces și camerele Wi-Fi. Niciuna dintre probleme nu este un motiv de panică, dar toate sunt un motiv bun să verificați ce versiune de firmware rulează echipamentele din clădirea dumneavoastră.
Ce a anunțat producătorul
Pe 22 iulie 2026, echipa de răspuns la incidente a Hikvision (HSRC) a emis avertizarea HSRC-202607-01, care descrie cinci vulnerabilități în firmware-ul unor camere, în principal din seriile DS-2CD și DS-2DE:
- CVE-2026-57600 (scor CVSS 7,5) – din cauza unei validări insuficiente a parametrilor, un atacator neautentificat poate extrage o parte din datele sensibile ale camerei;
- CVE-2026-61390 (7,7) – depășire de buffer în heap, prin care cineva fără cont poate bloca funcționarea camerei cu pachete special construite;
- CVE-2026-61391 (7,2) – depășire de buffer în stivă, exploatabilă de un utilizator deja autentificat;
- CVE-2026-61392 (5,3) – scurgere de informații din memoria dispozitivului, fără autentificare;
- CVE-2026-57599 (6,6) – escaladare de privilegii: un atacator care are deja acces prin SSH poate prelua controlul complet al camerei.
Pe 10 septembrie 2026 au fost anunțate încă trei probleme: o eroare de control al accesului în HikCentral Access Control 2.5.0 și versiunile anterioare (CVE-2026-85545, scor 7,1, rezolvată în 2.5.1), posibilitatea de a falsifica carduri M1 la 13 modele de posturi de interfon (CVE-2026-85544, scor 5,2, necesită prezență fizică la ușă) și expunerea configurației Wi-Fi către utilizatori cu drepturi reduse la câteva camere wireless (CVE-2026-85543, scor 4,3, rezolvată în firmware-ul V5.7.26). Potrivit producătorului, pentru acest al doilea set nu existau, la data publicării, atacuri cunoscute sau cod de exploatare public.
Cine este afectat
Camerele Hikvision sunt foarte răspândite în România, atât în primării, școli și spitale, cât și în magazine, depozite sau blocuri de locuințe. Cel mai expuse sunt sistemele la care camerele sau NVR-ul sunt accesibile direct din internet, prin port forwarding sau UPnP, și cele la care firmware-ul nu a mai fost actualizat de la instalare. Două dintre vulnerabilitățile din iulie nu cer niciun cont, deci o cameră „la vedere” în internet poate fi blocată sau poate pierde date fără ca cineva să-i fi ghicit parola.
În cazul interfoanelor, contează și o setare: producătorul precizează că posturile de exterior care au activată criptarea cardurilor M1 nu sunt vulnerabile la problema de falsificare.
Ce recomandăm
- Faceți inventarul. Notați modelul exact, versiunea de firmware și data build-ului pentru fiecare cameră, NVR și interfon. Fără o listă, nu puteți ști ce e la zi.
- Actualizați firmware-ul doar din sursele oficiale ale producătorului. Pentru parcuri mari de camere, Hikvision recomandă utilitarul de actualizare în masă Hikvision Delivery Assistant. Testați întâi pe un echipament, apoi pe restul.
- Scoateți camerele de pe internet. Dezactivați UPnP pe router și pe NVR, închideți porturile redirecționate și folosiți un VPN pentru vizualizarea de la distanță.
- Izolați rețeaua video într-un VLAN separat, fără acces la rețeaua administrativă sau la stațiile de lucru.
- Dezactivați serviciile nefolosite, în special SSH și Telnet, și schimbați orice parolă implicită sau comună mai multor echipamente.
- Revizuiți conturile din HikCentral și din NVR: ștergeți utilizatorii plecați și lăsați drepturi de administrare doar celor care chiar au nevoie.
- Verificați criptarea cardurilor M1 la interfoane și programați actualizarea la următoarea vizită de mentenanță.
Pe scurt
Niciuna dintre aceste vulnerabilități nu înseamnă că un sistem bine configurat este compromis. Riscul real apare atunci când camerele sunt expuse în internet și nu au mai fost întreținute de ani de zile. Dacă nu știți sigur în ce situație sunteți, echipa Southwest Digital vă poate ajuta cu inventarul echipamentelor, verificarea configurației și actualizările de firmware necesare.