Vulnerabilidad en cámaras Hikvision, objetivo de intentos de explotación para la ejecución remota de código

Los in­ten­tos de es­ca­neo y eje­cu­ción re­mo­ta de có­di­go di­ri­gi­dos a dis­po­si­ti­vos de vi­deo­vi­gi­lan­cia au­men­ta­ron entre el 21 de sep­tiem­bre y el 1 de oc­tu­bre de 2026.

La mayor parte de la ac­ti­vi­dad se cen­tró en la  CVE-2021-36260 (CVSS 9,8 ), una vul­ne­ra­bi­li­dad crí­ti­ca de in­yec­ción de co­man­dos en pro­duc­tos Hik­vi­sion sin ac­tua­li­zar. Los ha­llaz­gos ponen de re­lie­ve un in­te­rés re­no­va­do en una vul­ne­ra­bi­li­dad an­ti­gua que per­mi­te a los ata­can­tes tomar el con­trol de cá­ma­ras y equi­pos de gra­ba­ción ex­pues­tos sin ne­ce­si­dad de ini­ciar se­sión.

No obs­tan­te, las ob­ser­va­cio­nes de Grey­Noi­se do­cu­men­tan in­ten­tos de ex­plo­ta­ción, no tomas de con­trol con­fir­ma­das de sis­te­mas de vi­gi­lan­cia reales. Esta dis­tin­ción es im­por­tan­te a la hora de eva­luar el im­pac­to y el po­si­ble ob­je­ti­vo de la cam­pa­ña.

Según la cro­no­lo­gía de Grey­Noi­se, las la­bo­res ini­cia­les de re­co­no­ci­mien­to co­men­za­ron el 21 de sep­tiem­bre, cuan­do una di­rec­ción IP de una red ucra­nia­na in­ten­tó co­nec­tar con puer­tos de ser­vi­cio sin en­viar nin­gún ex­ploit.

Los in­ten­tos de ex­plo­ta­ción au­men­ta­ron drás­ti­ca­men­te el 23 de sep­tiem­bre y con­ti­nua­ron hasta el 1 de oc­tu­bre, ge­ne­ran­do un re­pun­te de nueve días tras meses de ac­ti­vi­dad prác­ti­ca­men­te nula de este tipo con­tra Ucra­nia. Cua­tro di­rec­cio­nes IP con­cen­tra­ron casi la to­ta­li­dad de los in­ten­tos du­ran­te este pe­rio­do. Tres de ellas eran nodos de sa­li­da de Pu­reVPN, mien­tras que la cuar­ta per­te­ne­cía a una red do­més­ti­ca ucra­nia­na…