Kaspersky opublikował 2 listopada 2026 wyniki badania, z których wynika, że kilka domowych kamer Wi-Fi marki Intelbras przyjmowało polecenie aktualizacji oprogramowania od każdego w sieci lokalnej. Nie trzeba było hasła, a kamera nie sprawdzała pliku. Każde takie żądanie restartowało kamerę i wyłączało ją na mniej więcej minutę. Wysyłane w pętli trzymały ją poza siecią tak długo, jak chciał atakujący. Intelbras naprawił błąd w oprogramowaniu R.260804.

Intelbras to duża brazylijska marka i większość właścicieli tych kamer mieszka w Ameryce Łacińskiej. Ten przypadek dobrze jednak pokazuje problem, który powtarza się w wielu tanich kamerach.

Na czym polegał błąd

Zespół GReAT z Kaspersky przetestował kamerę Intelbras iM3 C (iM3B-C). To kamera Wi-Fi Full HD do monitoringu domu i jako niania elektroniczna. Działała na oprogramowaniu v240927, wtedy najnowszym. Według opisu na Securelist punkt aktualizacji /firmwareUpgrade_service/Demo przyjmował żądanie POST z dowolnym plikiem. Kamera nie wymagała zalogowania, nie sprawdzała obrazu oprogramowania i od razu uruchamiała procedurę aktualizacji, która kończy się restartem.

W ten sposób nikt nie przejmie kamery ani nie zobaczy obrazu. To błąd typu odmowa usługi, oceniony jako średnio poważny. W kamerze do ochrony domu to jednak sporo: intruz, który zna hasło do Wi-Fi, może ją oślepić, zanim przejdzie obok, a w nagraniu zostanie po prostu dziura.

Według producenta to samo oprogramowanie działa też w modelach iMX C, iM4 C, iM5 SC, iME 360 C i iM7+ FC. Aplikację Intelbras Mibo Smart, przez którą się je konfiguruje, pobrano ponad cztery miliony razy. Securelist podaje dla tej luki tymczasowy identyfikator CAN-2026-2035970, ostatecznego numeru CVE nie ma.

Poprawka

Wersja R.260804 przyjmuje aktualizację dopiero po zalogowaniu. Intelbras udostępnia instrukcję aktualizacji, także z karty SD.

Co z tego wynika

Jeśli masz któryś z wymienionych modeli, zaktualizuj go od razu. Przy innych kamerach obowiązują znane zasady, a ten przypadek pokazuje, po co są:

  • Kamery i inne urządzenia inteligentnego domu trzymaj w osobnej sieci albo VLAN-ie, z dala od telefonów i laptopów, i ustaw mocne hasło do Wi-Fi.
  • Wyłącz WPS w routerze, bo jego ośmiocyfrowy PIN da się złamać metodą siłową.
  • Nie zakładaj, że kamera na Wi-Fi zawsze nagrywa. Jeśli obraz jest ważny, ustaw powiadomienie o tym, że kamera zniknęła z sieci, na przykład automatyzację dostępności w Home Assistancie.