Stare oprogramowanie kamer IP Hikvision pozwala bez hasła przejąć urządzenie, obraz i konfigurację. CISA potwierdza wykorzystanie luki. Odetnij kamery od internetu, zaktualizuj firmware i zmień hasła.
Ten alert jest dla zarządu, CTO i CFO firm, które mają monitoring oparty na kamerach IP Hikvision, zwłaszcza zamontowanych kilka lat temu. Werdykt: jeśli kamery działają na oprogramowaniu sprzed 2017 roku lub są dostępne bezpośrednio z internetu, odetnij je od internetu i zaktualizuj firmware dziś, bo CISA potwierdza wykorzystanie tej luki w atakach.
Amerykańska agencja CISA 5 marca 2026 roku dopisała do katalogu KEV podatność CVE-2017-7921 w kamerach IP Hikvision. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach. Luka ma dziewięć lat, ale kamery montuje się na lata i rzadko ktoś aktualizuje ich oprogramowanie.
Błąd polega na niewłaściwym uwierzytelnianiu. Oprogramowanie kamery nie sprawdzało poprawnie, kim jest osoba wysyłająca zapytanie, więc napastnik z dostępem sieciowym mógł bez hasła podnieść swoje uprawnienia i uzyskać dostęp do informacji wrażliwych: obrazu, konfiguracji i danych kont. Nie potrzeba konta ani kliknięcia pracownika.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 26 marca 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2017-7921 (EUVD-2017-16892 w europejskiej bazie ENISA) |
Data dodania do CISA KEV | 2026-03-05 |
Termin naprawy wg CISA | 2026-03-26 (21 dni od wpisu) |
Produkt | Hikvision, kamery IP z kilku serii (CISA: Multiple Products) |
Wersje zagrożone | DS-2CD2xx2F-I: V5.2.0 build 140721 do V5.4.0 build 160530. DS-2CD2xx0F-I: V5.2.0 build 140721 do V5.4.0 build 160401. DS-2CD2xx2FWD: V5.3.1 build 150410 do V5.4.4 build 161125. DS-2CD4x2xFWD: V5.2.0 build 140721 do V5.4.0 build 160414. DS-2CD4xx5: V5.2.0 build 140721 do V5.4.0 build 160421. DS-2DFx: V5.2.0 build 140805 do V5.4.5 build 160928. DS-2CD63xx: V5.0.9 build 140305 do V5.3.5 build 160106 |
Wersje bezpieczne | Wg ostrzeżenia CISA (modele północnoamerykańskie): DS-2CD2xx2F-I i DS-2CD2xx0F-I: V5.4.5 build 170123. DS-2CD2xx2FWD: V5.4.5 build 170124. DS-2CD4x2xFWD: V5.4.5 build 170228. DS-2CD4xx5: V5.4.5 build 170302. DS-2DFx: V5.4.9 build 170123. DS-2CD63xx: V5.4.5 build 170206. Dla innych modeli i regionów najnowszy firmware ze strony producenta |
Typ podatności | Niewłaściwe uwierzytelnianie prowadzące do podniesienia uprawnień i ujawnienia informacji; CWE-287 |
Ocena CVSS | NVD: 9.8 KRYTYCZNA (CVSS 3.1). CISA ICS (2017): 10.0 KRYTYCZNA (CVSS 3.0, ze zmianą zakresu). NVD: 7.5 WYSOKA (CVSS 2.0). Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie portiernię, w której leży księga gości i klucze do wszystkich pomieszczeń. Portier wpuszcza tylko osoby z przepustką, ale ma dziwny nawyk: jeśli ktoś na wejściu powie odpowiednią formułkę, portier uznaje go za kierownika ochrony i podaje mu klucze bez sprawdzania dokumentu. Formułka krąży po internecie od lat.
Tak działał ten błąd. Kamera IP to mały komputer z własnym systemem, stroną do logowania i kontem administratora. W podatnym oprogramowaniu odpowiednio zbudowane zapytanie omijało sprawdzenie hasła. Napastnik mógł oglądać obraz, pobrać konfigurację z danymi kont i zmieniać ustawienia. Obraz z kamery nad kasą czy wejściem pokazuje przy tym, kto ma klucze, o której przychodzi dostawa i jak wygląda odprowadzanie utargu.
💡 Kamera IP to kamera podłączona do sieci komputerowej, dostępna przez przeglądarkę lub aplikację. Firmware to oprogramowanie wbudowane w urządzenie. Uwierzytelnianie to sprawdzenie, kim jest osoba łącząca się z urządzeniem. Segmentacja sieci oznacza podział sieci na odizolowane części, np. osobno kamery, osobno komputery księgowości. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba łączy się z kamerą | Musi podać login i hasło | Może ominąć logowanie spreparowanym zapytaniem |
Podgląd obrazu | Tylko dla uprawnionych | Dostępny dla napastnika |
Konfiguracja i konta | Widoczne tylko dla administratora | Mogą zostać pobrane, łącznie z danymi kont |
Silne hasło administratora | Chroni kamerę | Nie pomaga, bo hasło nie jest sprawdzane |
Kamera w tej samej sieci co komputery | Zwykłe urządzenie | Punkt wejścia do reszty sieci firmy |
źródło: freepikPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga dostępu sieciowego do kamery, dlatego najbardziej zagrożone są kamery wystawione do internetu, na przykład „żeby właściciel mógł zajrzeć z telefonu”. Gotowe szablony do wyszukiwania podatnych kamer są publicznie dostępne w popularnych skanerach, więc wyszukiwanie odbywa się automatycznie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Automatyczne skanowanie internetu w poszukiwaniu kamer Hikvision | Lista tysięcy urządzeń |
2. Wejście | T+kilka sekund na urządzenie | Wysłanie zapytania omijającego logowanie | Dostęp do kamery bez hasła |
3. Kradzież danych | T+kilka minut | Pobranie konfiguracji, listy kont i haseł, zrzutów obrazu | Hasła i wiedza o obiekcie |
4. Utrwalenie | T+godziny | Założenie własnego konta, zmiana ustawień lub włączenie do sieci botów | Stała kontrola nad kamerą |
5. Rozszerzenie | T+1 do 7 dni | Próba użycia wykradzionych haseł do rejestratora, routera i innych systemów w tej samej sieci | Dostęp do dalszej infrastruktury |
6. Wykorzystanie | T+dni do tygodni | Podgląd procedur i ludzi, przygotowanie włamania fizycznego, ataki DDoS z przejętych kamer, szantaż nagraniami | Straty materialne, wyciek wizerunku, nadużycie sprzętu |
Mogę Ci jakoś pomóc?
Kamery traktuje się jak czujniki dymu: zamontowane, działają, tematu nie ma. Tymczasem to komputery z oprogramowaniem sprzed lat, często dostępne z sieci, a do tego rejestrują wizerunki pracowników i klientów, czyli dane osobowe.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączone lub zmienione kamery, utrata nagrań, konieczność wymiany sprzętu | Godziny do dni | 5 tys. do 80 tys. PLN (serwis, wymiana kamer) |
Bezpieczeństwo danych | Wyciek nagrań z wizerunkami, haseł i informacji o obiekcie | Minuty od wejścia | 10 tys. do 100 tys. PLN (analiza, obsługa incydentu) |
Finansowy | Kradzież lub włamanie przygotowane na podstawie obrazu, koszty zmian w sieci | Dni do tygodni | 10 tys. do 300 tys. PLN łącznie |
Reputacyjny | Nagrania z firmy w internecie, utrata zaufania klientów i pracowników | Tygodnie | 20 tys. do 200 tys. PLN (utracone kontrakty) |
Prawny | Nagrania to dane osobowe: obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z kamerami Hikvision
na podatnym firmware, dostępnymi z internetu
Wpływ
5 | . . . . .
4 | . . . . ■ ← WYSOKIE / KRYTYCZNE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest bardzo wysokie (atak bez hasła, automatyczne skanowanie, potwierdzone wykorzystanie), a wpływ wysoki, bo obejmuje nagrania z danymi osobowymi i możliwe wejście do sieci; kamery zaktualizowane, schowane za zaporą i odseparowane od reszty sieci są poza zasięgiem tego ataku.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sporządzić listę kamer i rejestratorów Hikvision: model, wersja i numer kompilacji firmware | Dziś | Administrator IT / instalator monitoringu |
2 | 🔴 NATYCHMIAST | Zablokować bezpośredni dostęp do kamer z internetu (przekierowania portów, UPnP) | Dziś | Administrator sieci |
3 | 🟠 PILNIE | Zaktualizować firmware do wersji z poprawką lub nowszej ze strony producenta | Do 3 dni | Instalator monitoringu |
4 | 🟠 PILNIE | Zmienić hasła do kamer i rejestratorów na unikalne, niepowtarzane w innych systemach | Do 3 dni | Administrator IT |
5 | 🟠 PILNIE | Sprawdzić listę kont w kamerach i usunąć nieznane | Do 3 dni | Instalator monitoringu |
6 | 🟡 WAŻNIE | Przenieść kamery do osobnego segmentu sieci, a podgląd spoza biura udostępniać tylko przez VPN (zalecenie CISA) | Do 30 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Wymienić kamery, których nie da się zaktualizować (np. z szarego rynku z podmienionym oprogramowaniem) | Do 90 dni | CTO / CFO |
Producent wydał poprawione wersje firmware w 2017 roku. Problem pojawia się przy kamerach z tak zwanego szarego rynku z podmienionym oprogramowaniem: CISA ostrzegała, że aktualizacja przywraca w nich oryginalny interfejs, więc takie urządzenia często zostają na starej, podatnej wersji. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie kamer od bezpośredniego dostępu z internetu, za zaporą sieciową (zalecenie CISA) | Wysoka wobec ataków z zewnątrz | Łatwa |
Osobny segment sieci dla monitoringu (zalecenie CISA) | Wysoka: ogranicza skutki przejęcia kamery | Średnia |
Podgląd spoza biura tylko przez VPN (zalecenie CISA) | Wysoka | Średnia |
Unikalne hasła do kamer | Niska wobec tej luki, ważna wobec kradzieży haseł | Łatwa |
Wymiana urządzeń bez możliwości aktualizacji | Wysoka | Trudna: wymaga budżetu i montażu |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp do kamer z internetu | Bezpośredni, bez kontroli | Tylko przez VPN |
Firmware | Nieznana wersja, często z lat 2014 do 2016 | Wersja z poprawką, zapisana w dokumentacji |
Hasła | Te same co w innych systemach lub domyślne | Unikalne dla monitoringu |
Sieć | Kamery obok komputerów księgowości | Kamery w odseparowanym segmencie |
Zgodność z wymogami | Zaległość wobec terminu CISA z 26 marca 2026 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD (CVSS 3.1); 10.0 wg CISA ICS (CVSS 3.0); 7.5 wg NVD (CVSS 2.0) |
PoC dostępny publicznie? | TAK, publiczny szablon do wykrywania i wykorzystania luki w otwartym skanerze Nuclei. W 2017 roku CISA nie znała publicznych exploitów |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Użytkownik forum o kamerach IP podpisujący się jako Montecrypto |
Prognoza EPSS | 0,99998, czyli praktycznie pewność próby wykorzystania w ciągu 30 dni (wg analizy źródłowej) |
Powiązana luka | CVE-2017-7923 (hasło w pliku konfiguracyjnym, CVSS 8.8) z tego samego ostrzeżenia; według CISA producent jej nie usunął |
Sygnały zagrożenia dla CVE-2017-7921
CVSS 3.0 (CISA ICS) 10/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~100% ████████████████████ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Mogę Ci jakoś pomóc?
2017-03 Hikvision publikuje komunikat o luce i poprawionym firmware
2017-05-04 CISA ICS-CERT wydaje ostrzeżenie ICSA-17-124-01
2017-05-06 Publikacja CVE-2017-7921 w NVD
... kamery pracują latami bez aktualizacji
2026-03-05 CISA dodaje lukę do katalogu KEV
2026-03-26 Termin naprawy wg CISA dla agencji federalnych
... prawie 6 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta: Hikvision, Privilege Escalating Vulnerability in Certain Hikvision IP Cameras . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2017-7921 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma ma kamery lub rejestratory Hikvision i kto je serwisuje | CTO | DZISIAJ |
2 | Zlecić natychmiastowe odcięcie kamer od bezpośredniego dostępu z internetu | CTO | DZISIAJ |
3 | Uzyskać od instalatora listę modeli i wersji firmware | CTO | DZISIAJ |
4 | Zatwierdzić aktualizację firmware i zmianę haseł | CTO | DO JUTRA |
5 | Oszacować budżet na wymianę kamer, których nie da się zaktualizować | CFO | DO JUTRA |
6 | Sprawdzić, czy umowa z instalatorem obejmuje aktualizacje oprogramowania, i uzupełnić ją | CFO | DO JUTRA |
7 | Sprawdzić z inspektorem ochrony danych, czy nagrania mogły wyciec i czy potrzebne jest zgłoszenie | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy kamer Hikvision i jakich modeli? | [liczba] | 🔴 |
2 | Czy którakolwiek kamera lub rejestrator jest dostępna bezpośrednio z internetu? | TAK / NIE | 🔴 |
3 | Jaka jest wersja i kompilacja firmware w każdej kamerze? | [wersja] | 🔴 |
4 | Kiedy ostatnio aktualizowano firmware kamer? | [data] | 🟠 |
5 | Czy hasła do kamer są unikalne i różne od haseł do routera i rejestratora? | TAK / NIE | 🟠 |
6 | Czy kamery są w osobnym segmencie sieci? | TAK / NIE | 🟠 |
7 | Czy kamery pochodzą z oficjalnego kanału sprzedaży producenta? | TAK / NIE | 🟡 |
CVE-2017-7921 pozwala bez hasła przejąć kamerę IP Hikvision z oprogramowaniem sprzed poprawek z 2017 roku i dostać się do obrazu, konfiguracji i haseł. CISA potwierdziła w 2026 roku, że luka jest wykorzystywana, więc odcięcie kamer od internetu, aktualizacja firmware i zmiana haseł to zadania na dziś i ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.