Vulnerabilidad en cámaras Hikvision, objetivo de intentos de explotación para la ejecución remota de código
Segu-Info · 9 oct, 14:13
Qué hacer: Actualiza los dispositivos Hikvision a una versión que parche la CVE-2021-36260 o restringe el acceso a la interfaz web desde Internet.
Desde el 21 de septiembre, se han intensificado los intentos de explotación remota de código contra cámaras Hikvision sin actualizar, aprovechando la CVE-2021-36260 (CVSS 9,8), una vulnerabilidad crítica de inyección de comandos identificada en 2021. GreyNoise documentó un pico de actividad entre el 23 de septiembre y el 1 de octubre, principalmente desde direcciones IP ucranianas y nodos de salida de PureVPN, utilizando plantillas públicas de escaneo automatizado. Aunque se registraron intentos confirmados de explotación, no se han reportado tomas de control efectivas de sistemas de vigilancia reales.
La vulnerabilidad CVE-2021-36260 afecta al servidor web de dispositivos Hikvision y permite la ejecución remota de comandos sin autenticación ni interacción del usuario, mediante una validación deficiente de entradas en solicitudes manipuladas. Los atacantes utilizaron la plantilla pública de Nuclei "Hikvision IP camera/NVR – Remote Command Execution", evidenciando pruebas automatizadas de vulnerabilidad más que intentos de robo de vídeo o instalación de malware.
La campaña se concentró en cuatro direcciones IP: tres eran nodos de salida de PureVPN y una pertenecía a una red doméstica ucraniana. Aunque en 2022 se reportaron más de 80.000 cámaras Hikvision vulnerables y expuestas, ese dato no refleja la cifra actual de dispositivos en riesgo.
Puntos clave
- CVE-2021-36260 (CVSS 9,8): inyección de comandos en Hikvision sin autenticación requerida
- Actividad de escaneo automatizado entre 21 de septiembre y 1 de octubre de 2026
- Intentos de explotación confirmados pero sin tomas de control reportadas
- Utilización de plantillas públicas de Nuclei para pruebas automatizadas