Zespół badawczy Kaspersky GReAT opisał 28 października 2026 roku lukę bezpieczeństwa w kilku kamerach IP marki Intelbras. To brazylijski producent, a jego aplikację Mibo Smart pobrano ponad 4 miliony razy. Najwięcej użytkowników jest w Brazylii, dalej w Paragwaju, Ekwadorze, Kolumbii, Argentynie, Chile, Peru, Boliwii, Urugwaju i Wenezueli.

Na czym polega błąd

Oprogramowanie kamery udostępnia adres /firmwareUpgrade_service/Demo, który przyjmuje żądania bez logowania. Nie sprawdza też, czy przesłany plik jest prawdziwą aktualizacją. Badacz João Victor ustalił, że wystarczy jedno żądanie POST, by kamera się zrestartowała. Przez mniej więcej minutę nie działa. Jeśli napastnik powtarza żądanie co jakiś czas, kamera w ogóle nie wraca i przez cały ten czas niczego nie nagrywa.

Jest jeden warunek: atakujący musi być w tej samej sieci lokalnej, na przykład podłączony do domowego Wi-Fi. Nie da się więc przejąć kamer z dowolnego miejsca w internecie, a błąd nie daje ani wykonania kodu, ani dostępu do nagrań. Kaspersky zwraca jednak uwagę, że po cichu wyłączona kamera to dokładnie to, na czym zależy włamywaczowi.

Których modeli dotyczy i jak to naprawiono

Kaspersky sprawdził oprogramowanie w wersji v240927 na kamerze iM3B-C (IM3 C). Tego samego oprogramowania używają:

  • iMX C
  • iM4 C
  • iM5 SC
  • iME 360 C
  • iM7+ FC

Większość logiki siedzi w pliku wykonywalnym o nazwie sonia. Zwykłe logowanie idzie przez /RPC2_Login z wyzwaniem MD5, ale punkt aktualizacji w ogóle tego nie sprawdzał. Intelbras usunął błąd w wersji R.260804, w której ten adres wymaga zalogowanej sesji. MITRE nadało wstępny identyfikator CAN-2026-2035970, ostateczny numer CVE jeszcze nie jest znany. Ocena CVSS 4.0 to 5,1, czyli poziom średni. Intelbras przekazał zgłoszenie także dostawcy, od którego kupuje oprogramowanie, więc podobne kamery innych marek mogą mieć ten sam kod.

Co zrobić

Jeśli masz jedną z tych kamer, zaktualizuj ją do R.260804 lub nowszej wersji. Dobrze też przenieść kamery do osobnej sieci, choćby sieci dla gości, żeby telefon gościa czy zainfekowany laptop w głównym Wi-Fi nie miał do nich dostępu. Jeśli nagrywasz na rejestrator albo w Home Assistancie, ustaw powiadomienie o niedostępnej kamerze. Kamera, która co chwilę znika na minutę, zasługuje na sprawdzenie.