Kamery D-Link DCS-2530L, DCS-2670L i kilka innych modeli ujawniają hasło administratora bez logowania. CISA potwierdza zautomatyzowane ataki. Odetnij kamery od internetu, zmień hasła, wgraj poprawki lub wymień sprzęt.
Ten alert jest dla zarządu, CTO i CFO firm, które używają kamer sieciowych D-Link z serii DCS, np. w sklepie, gabinecie, magazynie lub biurze. Werdykt: jeśli kamera ma model z listy poniżej i starsze oprogramowanie, dziś odetnij ją od internetu, zmień jej hasło na unikalne i wgraj poprawkę albo zaplanuj wymianę, bo kamera podaje hasło administratora każdemu, kto o nie zapyta, a ataki są zautomatyzowane.
Amerykańska agencja CISA 5 sierpnia 2025 roku dopisała podatność CVE-2020-25078 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. W kamerach D-Link adres /config/getuser wbudowanego serwera odpowiadał bez logowania i zwracał hasło administratora urządzenia. Wystarczy jedno zapytanie przez sieć.
Luka jest znana od 2020 roku, a D-Link opisał ją w komunikacie SAP10180. Część modeli dostała poprawki, część nie dostanie ich nigdy, bo ma zakończone wsparcie. CISA zaleca zaprzestanie używania takich urządzeń. Termin naprawy wg CISA minął 26 sierpnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2020-25078 (komunikat D-Link SAP10180) |
Data dodania do CISA KEV | 2025-08-05 |
Termin naprawy wg CISA | 2025-08-26 (21 dni od wpisu) |
Produkt | Kamery sieciowe D-Link DCS-2530L i DCS-2670L; wg tabeli wersji w NVD i komunikatu producenta także DCS-4603, DCS-4622, DCS-4701E, DCS-4703E, DCS-4705E, DCS-4802E i DCS-P703 |
Wersje zagrożone | DCS-2530L: do 1.05.05 wg tabeli NVD, przed 1.06.01 Hotfix wg opisu NVD; DCS-2670L: 2.02 i starsze; DCS-4603 przed 1.04.02; DCS-4622 przed 2.01.10; DCS-4701E przed 2.03.01; DCS-4703E przed 1.03.04; DCS-4705E przed 1.03.02; DCS-4802E przed 2.01.01; DCS-P703: wszystkie wersje |
Wersje bezpieczne | DCS-2530L: v1.07.00 Hotfix wg producenta (przy rozbieżności obowiązuje wersja producenta); DCS-2670L: v2.03.00 Hotfix; pozostałe modele: wersje podane wyżej jako progi. DCS-P703: brak poprawki, producent zaleca wymianę. Wsparcie DCS-2530L zakończyło się 17 września 2021 roku |
Typ podatności | Ujawnienie hasła administratora bez uwierzytelnienia; CISA: „nieokreślona”, CWE nieprzypisane (NVD: brak informacji) |
Ocena CVSS | 7.5/10 (CVSS 3.1, WYSOKA) wg NVD i CISA; 5.0 (CVSS 2.0, ŚREDNIA) wg NVD. Atak przez sieć, bez logowania i bez udziału użytkownika; sama luka ujawnia dane, nic nie zmienia w kamerze |
Wyobraź sobie recepcję biura, do której dzwoni nieznajomy i pyta: „jaki jest kod do sejfu?”. Recepcjonista podaje kod, bo nikt mu nie powiedział, że na to akurat pytanie nie należy odpowiadać. Nie było włamania, nie było podstępu, wystarczyło zadzwonić pod właściwy numer.
Kamera D-Link zachowuje się jak ten recepcjonista. Ma wbudowaną stronę, przez którą ogląda się obraz i zmienia ustawienia. Jeden z adresów tej strony odpowiadał każdemu i podawał hasło administratora. Kto je zna, może oglądać obraz, zmieniać ustawienia i wykorzystać to samo hasło do innych urządzeń, jeśli firma go powtarza.
💡 Kamera sieciowa (IP) to kamera z własnym serwerem WWW, dostępna przez sieć lub internet. Adres (endpoint) to konkretna podstrona serwera, np. /config/getuser. Hotfix to poprawka wydana poza zwykłym cyklem aktualizacji. EOL/EOS oznacza koniec produkcji lub wsparcia i brak kolejnych poprawek. KEV to katalog CISA z lukami potwierdzonymi w atakach. Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba otwiera stronę kamery | Widzi ekran logowania | Pyta o konkretny adres i dostaje hasło administratora |
Podgląd obrazu z rejestracji lub kasy | Tylko dla uprawnionych pracowników | Dostępny dla napastnika |
To samo hasło do kamery, routera i Wi-Fi | Wygodne | Jedno ujawnione hasło otwiera kilka urządzeń |
Kamera widoczna w internecie | Zwykle nikt jej nie szuka | Znajdowana automatycznie przez skanery |
Model bez wsparcia (np. DCS-P703) | Dostaje poprawki | Poprawki nie będzie |
źródło: Pexels, Eunjin BaekPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak jest możliwy z internetu, jeśli kamera jest z niego osiągalna, nie wymaga konta ani udziału pracownika, a CISA ocenia, że da się go w pełni zautomatyzować. Nikt nie wybiera konkretnej firmy: skaner sprawdza wszystkie kamery po kolei.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie kamer D-Link dostępnych z internetu | Lista kamer |
2. Pobranie hasła | T+sekundy na kamerę | Zapytanie o adres | Hasło administratora zapisane w bazie napastnika |
3. Logowanie | T+minuty | Wejście do panelu kamery | Podgląd obrazu, zmiana ustawień |
4. Próba tego samego hasła | T+minuty do godzin | Logowanie tym hasłem do routera, rejestratora, Wi-Fi, panelu firmy | Dostęp do innych urządzeń, jeśli hasło się powtarza |
5. Wykorzystanie | T+dni | Nagrywanie obrazu, obserwacja rozkładu dnia, dołączenie kamery do sieci przejętych urządzeń | Wyciek obrazu, punkt wejścia do sieci |
6. Skutki | T+tygodnie | Sprzedaż dostępu, szantaż, przygotowanie włamania lub kradzieży | Naruszenie prywatności i bezpieczeństwa |
Kamery zwykle instaluje firma od monitoringu, a nie dział IT, i zostają poza przeglądami aktualizacji na lata. Tymczasem obraz z kamery często pokazuje dane osobowe, dokumenty i zabezpieczenia fizyczne, a hasło do kamery bywa tym samym hasłem, co do innych urządzeń. Przekonanie „kto by się interesował moim sklepem” nie ma znaczenia, bo ataki są masowe i automatyczne.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie lub wymiana kamer, przegląd innych urządzeń z tym samym hasłem | Dni | 5 tys. do 40 tys. PLN (nowe kamery, montaż, konfiguracja) |
Bezpieczeństwo danych | Wyciek obrazu z danymi osobowymi, dostęp do innych urządzeń | Minuty od znalezienia kamery | 10 tys. do 100 tys. PLN (analiza, zmiana haseł, obsługa incydentu) |
Finansowy | Koszty incydentu, możliwa kradzież fizyczna po obserwacji | Tygodnie | 10 tys. do 200 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów lub pacjentów po publikacji nagrań | Tygodnie do miesięcy | 20 tys. do 200 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i często powiadomienia osób, szczególnie przy danych o zdrowiu; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla kamery D-Link z listy, bez poprawki,
dostępnej z internetu
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . . . ■ ← WYSOKIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest bardzo wysokie (zautomatyzowane, masowe ataki, EPSS ok. 98%), a wpływ średni, bo sama luka ujawnia hasło i obraz, ale nie przejmuje całej sieci; wpływ rośnie, gdy to samo hasło chroni router lub inne systemy, a spada dla kamery dostępnej tylko z sieci lokalnej.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie kamery D-Link DCS we wszystkich lokalizacjach: model i wersję oprogramowania z panelu | Dziś | Kierownik obiektu / firma monitoringu |
2 | 🔴 NATYCHMIAST | Odciąć kamery od internetu: wyłączyć przekierowania portów na routerze i dostęp z zewnątrz | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zmienić hasło administratora kamer na unikalne, nieużywane w żadnym innym urządzeniu | Dziś | Administrator / firma monitoringu |
4 | 🟠 PILNIE | Zmienić hasła do routera, rejestratora i Wi-Fi, jeśli były takie same jak w kamerach | Do 3 dni | Administrator sieci |
5 | 🟠 PILNIE | Wgrać poprawki z komunikatu SAP10180 tam, gdzie istnieją (np. DCS-2670L v2.03.00 Hotfix) | Do 7 dni | Firma monitoringu / administrator |
6 | 🟡 WAŻNIE | Wymienić kamery bez wsparcia (DCS-P703, DCS-2530L) na wspierane modele | Do 30 dni | CFO / kierownik obiektu |
7 | 🟡 WAŻNIE | Wydzielić kamery do osobnej sieci bez dostępu do komputerów firmy | Do 30 dni | CTO |
D-Link wydał poprawki dla części modeli, ale dla DCS-P703 poprawki nie ma, a DCS-2530L jest po zakończeniu wsparcia. CISA i producent zalecają wycofanie takich urządzeń. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Całkowite odcięcie kamery od internetu (brak przekierowań portów) | Wysoka wobec masowych skanerów | Łatwa, podgląd tylko z sieci biura lub przez VPN |
Osobna sieć (VLAN) dla kamer, bez dostępu do komputerów | Średnia do wysokiej: ogranicza skutki | Średnia |
Unikalne hasło kamery, niepowtarzane gdzie indziej | Średnia: nie chroni kamery, ale chroni inne urządzenia | Łatwa |
Podgląd obrazu przez VPN zamiast otwartego dostępu | Wysoka | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostępność kamer | Z całego internetu | Tylko z sieci firmy lub przez VPN |
Hasło kamery | Ujawnialne, często wspólne z innymi urządzeniami | Unikalne, inne urządzenia z nowymi hasłami |
Oprogramowanie | Stare lub bez wsparcia | Poprawione lub kamera wymieniona |
Sieć kamer | Wspólna z komputerami | Wydzielona |
Zgodność z terminem CISA | Zaległość sprzed prawie 13 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); wpis w jednej partii z dwiema innymi lukami w sprzęcie D-Link |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.5/10 WYSOKA (CVSS 3.1, NVD i CISA); 5.0 ŚREDNIA (CVSS 2.0, NVD) |
PoC dostępny publicznie? | Mechanizm ataku jest publicznie opisany w NVD (adres |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Wg CISA możliwa |
Prognoza EPSS | Ok. 98% szansy próby wykorzystania w ciągu 30 dni, w ostatnim ułamku procenta wszystkich luk (wg analizy źródłowej) |
Uwaga przy sprawdzaniu modelu: krótki opis w NVD wymienia tylko dwa modele z pierwszego zgłoszenia, a tabela wersji i komunikat producenta dziewięć. Sprawdzaj model w komunikacie SAP10180, nie w streszczeniu.
Sygnały zagrożenia dla CVE-2020-25078
CVSS 3.1 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) ~98% ████████████████████ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ ataki masowe
Wsparcie części modeli EOS ░░░░░░░░░░░░░░░░░░░░ zalecana wymiana 2020-06-11 Pierwsze zgłoszenie błędu w DCS-2530L do D-Link
2020-08-28 Qihoo 360 zgłasza ten sam atak na kolejnych modelach
2020-09-02 Publikacja CVE-2020-25078 w NVD
2021-05-07 Aktualizacja komunikatu D-Link SAP10180
2021-09-17 Koniec wsparcia technicznego DCS-2530L
2025-08-05 CISA dodaje lukę do katalogu KEV
2025-08-26 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta z listą modeli i poprawek: supportannouncement.us.dlink.com, SAP10180 . Strona produktu DCS-2530L: support.dlink.com/productinfo.aspx?m=DCS-2530L . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2020-25078 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, jakie kamery pracują w firmie i kto je instalował | CTO | DZISIAJ |
2 | Uzyskać potwierdzenie odcięcia kamer od internetu | CTO | DZISIAJ |
3 | Zlecić zmianę haseł kamer i urządzeń, które miały to samo hasło | CTO | DZISIAJ |
4 | Zatwierdzić budżet na wymianę kamer bez wsparcia | CFO | DO JUTRA |
5 | Sprawdzić umowę z firmą monitoringu: kto odpowiada za aktualizacje kamer | CFO | DO JUTRA |
6 | Ocenić, czy kamery obejmują dane szczególne (np. zdrowie) i czy potrzebna jest analiza naruszenia | CTO | DO JUTRA |
7 | Dopisać kamery do spisu sprzętu objętego przeglądem bezpieczeństwa | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile kamer D-Link DCS mamy i jakie to modele? | [liczba] / [modele] | 🔴 |
2 | Czy któraś kamera jest dostępna z internetu? | TAK / NIE | 🔴 |
3 | Jaka wersja oprogramowania jest na każdej kamerze? | [wersja] | 🔴 |
4 | Czy hasło kamer jest używane także w routerze, rejestratorze lub Wi-Fi? | TAK / NIE | 🔴 |
5 | Czy kamery są w osobnej sieci niż komputery firmy? | TAK / NIE | 🟠 |
6 | Które kamery nie mają już wsparcia producenta? | [lista] | 🟠 |
7 | Do kiedy wymienimy kamery bez wsparcia? | [data] | 🟡 |
CVE-2020-25078 sprawia, że kamery D-Link z serii DCS podają hasło administratora każdemu, kto zapyta o właściwy adres, a ataki są masowe i zautomatyzowane. Dziś trzeba odciąć kamery od internetu i zmienić hasła, w ciągu tygodnia wgrać dostępne poprawki, a modele bez wsparcia wymienić.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.