15 października 2026 amerykańska agencja CISA opublikowała komunikat ICSA-26-288-02 o trzech lukach w EseeCloud, czyli w aplikacji i oprogramowaniu kamer IP firmy Guangzhou Juan IoT Technology. Według CISA napastnik, który je wykorzysta, może przejąć kontrolę nad kamerą. Komunikat obejmuje aplikację EseeCloud do wersji 4.9.6 włącznie i oprogramowanie EseeCloud do wersji 4.9.86.0 włącznie. Poprawionej wersji nie ma, bo producent nie odpowiedział na próby kontaktu ze strony CISA.
Jedna krytyczna luka w kamerze, dwie w chmurze
Najpoważniejsza jest CVE-2026-107617. Urządzenia akceptują dane logowania zaszyte na stałe w oprogramowaniu, więc napastnik może się nimi po prostu zalogować. CISA ocenia tę lukę na 9,8 punktu (zagrożenie krytyczne) w skali CVSS 3.1 i na 9,3 w CVSS 4.0. Wektor oceny to najgorszy możliwy zestaw: atak przez sieć, niska złożoność, brak wymaganych uprawnień i brak udziału użytkownika.
Dwie pozostałe luki są po stronie serwera EseeCloud.
CVE-2026-97858 dotyczy przypisania urządzenia do właściciela. Napastnik może sprawić, że serwer odepnie kamerę od obecnego właściciela i przypisze ją do konta napastnika, nawet jeśli kamera należy już do kogoś innego. Przy okazji poznaje pełny numer seryjny urządzenia. CISA uznaje tę lukę za średnio poważną: 5,3 punktu w CVSS 3.1 i 6,9 w CVSS 4.0.
Przez lukę CVE-2026-105664 takie kamery da się w ogóle odszukać. Serwer zwraca inny kod błędu dla identyfikatora, który nie istnieje, a inny dla zarejestrowanego, i praktycznie nie ogranicza liczby zapytań. Każdy, kto ma ważny token dostępu, może więc sprawdzić całą pulę dziesięciocyfrowych identyfikatorów i masowo wyszukiwać zarejestrowane urządzenia. Ta luka ma 5,3 punktu w CVSS 3.1 i 8,7 (zagrożenie wysokie) w CVSS 4.0.
Luki zgłosił do CISA Donghyeon Lee z Tokyo University of Science i GMO Flatt Security. Według CISA do agencji nie dotarły dotąd informacje o publicznych atakach wymierzonych w te luki.
Poprawki nie ma, więc odetnij kamerę
Jedyna rada w komunikacie, która dotyczy konkretnie tego producenta, to kontakt z pomocą techniczną Guangzhou Juan IoT Technology przez stronę eseecloud.app. Poza tym CISA powtarza ogólne zalecenia: nie wystawiać urządzeń do internetu, trzymać je za zaporą sieciową, a do zdalnego dostępu używać VPN.
W domu sprowadza się to do kilku kroków. Jeśli kamerę konfigurowałeś w aplikacji EseeCloud, usuń przekierowania portów, które do niej prowadzą, i nie umieszczaj jej w strefie DMZ. Przenieś ją do osobnej sieci dla urządzeń inteligentnego domu, żeby ktoś, kto przejmie kamerę, nie znalazł się od razu obok komputerów i telefonów. Jeśli router potrafi zablokować dostęp do internetu pojedynczemu urządzeniu, odetniesz też kamerę od usługi EseeCloud, ale stracisz podgląd w aplikacji spoza domu.
Na dwie luki po stronie chmury właściciel kamery nie ma wpływu. Wyszukiwanie identyfikatorów i przepinanie urządzeń na cudze konta to problem serwera producenta, a skoro Guangzhou Juan IoT Technology nie odpowiada, nie wiadomo, czy i kiedy go usunie.