Облачный сервис EseeCloud для сетевых, или IP-камер (устройств с прямым подключением к сети), содержит три уязвимости, а исправлений от производителя нет. Одна ошибка позволяет войти в устройство по учётным данным, жёстко прописанным в самом продукте. Две другие дают возможность отвязать чужую камеру от аккаунта владельца и массово находить зарегистрированные устройства по идентификаторам. Уязвимы приложение до версии 4.9.6 и прошивка до версии 4.9.86.0. Камеры с этим сервисом работают по всему миру, включая объекты энергетики, связи, транспорта, финансового сектора и государственных учреждений.
Жёстко прописанные учётные данные и перебор идентификаторов в EseeCloud
Вход по паролю, прописанному в коде
Первую проблему описывают как использование жёстко прописанных учётных данных (CVE-2026-107617, единый номер уязвимости в международной базе). Говоря проще, в приложении и в прошивке есть логин и пароль, заложенные в код заранее. Пользователю их не выдают и не предлагают сменить. Найти эту пару можно, разобрав прошивку. В итоге злоумышленник берёт встроенные данные и входит в камеру, не зная пароля владельца. Предварительная проверка подлинности не нужна, доступ открывается прямо из сети. Оценка уязвимости - 9,8 балла из 10, наивысший уровень опасности. Владелец теряет контроль над устройством: посторонний получает видеопоток, настройки и саму камеру. В самом факте встроенной пары нет ничего необычного для потребительской электроники, однако цена такой экономии высока.
Камеру отвязывают от аккаунта владельца
Вторая уязвимость (CVE-2026-97858) касается привязки устройства к учётной записи. Сервер принимает запрос, снимает камеру с текущего владельца и прикрепляет её к аккаунту отправителя. Текущая привязка к другой учётной записи помехой не становится. После этого камера числится за аккаунтом злоумышленника, а прежний владелец теряет к ней доступ. Одновременно тот, кто отправил запрос, узнаёт полный серийный номер устройства. Номер служит уникальным идентификатором камеры, поэтому по нему удобно нацеливаться на конкретное устройство и сопоставлять данные из разных источников. Уровень угрозы средний: 5,3 балла по одной методике подсчёта и 6,9 по другой.
Перебор идентификаторов раскрывает список камер
Третья уязвимость связана с конечной точкой интерфейса, через который приложение общается с сервером. Обрабатывая идентификаторы, сервис отвечает по-разному: на несуществующий номер приходит один код ошибки, на существующий - другой. Разница небольшая, зато устойчивая. Держателю действующего токена доступа дополнительная проверка прав не требуется, поэтому он отличает настоящий идентификатор от вымышленного. Ограничений на частоту запросов нет, и десятизначное числовое пространство перебирается целиком. На выходе - список зарегистрированных устройств в промышленных масштабах. Оценка третьей ошибки - 5,3 балла по методике 3.1, то есть средний уровень, и 8,7 по методике 4.0, то есть высокий.
Что делать владельцам камер
Исправленных версий нет. Производитель, Guangzhou Juan IoT Technology, не ответил на обращения CISA (американского агентства по кибербезопасности и защите инфраструктуры), которое координировало раскрытие сведений. Пользователям предлагают обращаться в поддержку по адресу eseecloud.app. Уязвимости нашли Донхён Ли из Токийского научного университета и исследователи GMO Flatt Security, уведомление опубликовали 15 октября 2026 года. Сведений о применении этих ошибок в реальных атаках у CISA нет.
Пока обновлений нет, риск снижают ограничением доступа. Камеры не выставляют в интернет напрямую; их размещают за межсетевым экраном и отделяют от корпоративной сети. Для удалённого просмотра подходит VPN (защищённое туннельное соединение), но и его обновляют. Полезно проверить, какие устройства привязаны к аккаунту, и убрать лишние.
Сетевые камеры давно входят в число самых проблемных подключённых устройств. Их ставят на годы, обновляют редко, а доступ открывают из интернета ради удобства. Когда производитель не отвечает на сообщения об уязвимостях, у владельца остаётся изоляция сети. Три ошибки в EseeCloud различаются по тяжести, однако вместе складываются в цельный сценарий: вход по встроенному паролю, смена владельца и поиск цели.
Ссылки
