13 października 2026 amerykańska agencja CISA wydała komunikat ICSA-26-286-02 dotyczący kamery Swann SWIFI-SE2KIC. Według serwisu ISSSource to model Swann EVO 2K Indoor Wi-Fi Camera, czyli kamera do wnętrz podłączana do Wi-Fi. Oprogramowanie w wersji 2.0.22 i wszystkich starszych zawiera trzy luki polegające na braku uwierzytelniania (CWE-306). Każdy, kto jest w tej samej sieci lokalnej, może oglądać obraz z kamery bez podawania hasła. Poprawionego oprogramowania na razie nie ma.

Co może zobaczyć napastnik

Każda z luk otwiera inną drogę do obrazu:

  • CVE-2026-107605: podgląd na żywo;
  • CVE-2026-107606: pojedyncze ujęcie z bieżącego obrazu;
  • CVE-2026-107607: strumień wideo w czasie rzeczywistym.

W skali CVSS v3.1 wszystkie trzy dostały po 6,2 punktu, czyli zagrożenie średnie. W CVSS v4.0 pierwsza ma 5,9, a dwie pozostałe po 6,9 punktu. Wysoko oceniono wyłącznie wpływ na poufność: napastnik widzi to, co widzi kamera, ale komunikat nie wspomina o zmianie ustawień ani przejęciu urządzenia. Luki zgłosił do CISA Elliott Phillips.

Na ile się przejmować

CISA podaje, że luk nie da się wykorzystać zdalnie i że nie zna przypadków ich publicznego wykorzystania. Napastnik musi więc najpierw dostać się do sieci domowej. Może to być gość, który zna hasło do Wi-Fi, zainfekowany laptop albo inne przejęte urządzenie inteligentnego domu. Jeśli kamera stoi w salonie albo w pokoju dziecka, trudno się tym pocieszać.

Swann nie wydał jeszcze poprawki. Na razie producent za pośrednictwem CISA zaleca, żeby:

  • trzymać kamerę za zabezpieczonym routerem i zaporą sieciową;
  • nie wystawiać usługi RTSP do internetu przez przekierowanie portów, strefę DMZ ani bezpośredni publiczny adres IP;
  • ustawić silne, niepowtarzalne hasła do routera i powiązanych kont;
  • instalować nowe wersje oprogramowania, gdy tylko się pojawią.

Punkt o RTSP warto sprawdzić od razu. Jeśli kiedyś przekierowałeś port, żeby odbierać obraz z zewnątrz w rejestratorze albo w Home Assistancie, usuń tę regułę. W domu kamery i resztę sprzętu IoT najlepiej trzymać w osobnej sieci VLAN albo sieci dla gości, z dala od telefonów i laptopów, które mogą zostać zainfekowane. Jeśli kamera obejmuje prywatne pomieszczenie, rozważ jej odłączenie do czasu, aż Swann wyda aktualizację, i regularnie sprawdzaj, jaką wersję oprogramowania ma zainstalowaną.