AXIS OS · VAPIX · ACAP · Device Configuration Framework

Новые уязвимости AXIS OS: VAPIX, ACAP и повышение привилегий

В AXIS OS раскрыт пакет из пяти уязвимостей. Самая серьёзная получила оценку CVSS 7.2 High и связана с недостаточной проверкой параметра VAPIX API. Остальные проблемы затрагивают ACAP и Device Configuration Framework. Axis уже указывает исправленные версии AXIS OS, поэтому владельцам камер, энкодеров, домофонов и других устройств Axis стоит проверить установленную ветку и доступность обновления.

CVE-2026-4757 CVE-2026-6505 CVE-2026-6181 CVE-2026-5303 CVE-2026-5304
Главное

Наиболее критичная из пяти проблем, CVE-2026-4757, требует предварительной аутентификации с правами administrator-privileged service account. Это не unauthenticated remote takeover. Но после получения такой учётной записи недостаточная проверка VAPIX-параметра может привести к выполнению кода и повышению привилегий.

Какие уязвимости раскрыты

CVE CVSS Компонент / суть Версия с исправлением
CVE-2026-4757 7.2 High VAPIX API, improper input validation, возможное выполнение кода и privilege escalation после аутентификации с высокими правами. 12.11.44
CVE-2026-6505 5.1 Medium ACAP framework, TOCTOU race condition, потенциальное повышение привилегий при установке malicious unsigned ACAP. 12.11.43
CVE-2026-6181 5.9 Medium Device Configuration Framework, authentication bypass после входа с viewer-privileged service account. 12.11.13; для LTS 11.11 также предусмотрено исправление
CVE-2026-5303 5.7 Medium ACAP framework, TOCTOU race condition; требуется возможность установки unsigned ACAP и участие пользователя. 12.11.31
CVE-2026-5304 5.7 Medium Недостаточная проверка ACAP configuration file, потенциальное повышение привилегий. 12.11.12

Версии указаны по реестру Axis Security Advisories. Для устройств на других поддерживаемых tracks исправления могут выходить по отдельному maintenance schedule.

CVE-2026-4757: самая серьёзная проблема в пакете

Уязвимость затрагивает параметр VAPIX API. По данным CVE, недостаточная проверка входных данных может позволить выполнение кода и привести к повышению системных привилегий.

Service accountadministrator privileges
→
VAPIX parameterimproper validation
→
Code executionprivilege escalation
Важное ограничение эксплуатации

Для этой CVE атакующий уже должен пройти аутентификацию с administrator-privileged service account. Поэтому это не сценарий «любая камера Axis в интернете взламывается одним запросом».

CVE-2026-6181: Device Configuration Framework

Здесь речь идёт об authentication bypass в Device Configuration Framework. По опубликованному описанию эксплуатация возможна после аутентификации с viewer-privileged service account.

Не требуется полный admin на старте

Достаточно viewer-privileged service account для выполнения условий CVE.

Требуется предварительная аутентификация

Это всё равно не полностью unauthenticated attack.

Для CVE-2026-6181 в CVE/NVD указаны affected-версии AXIS OS 12.0.0 до 12.11.12 включительно и AXIS OS 11.11 до исправленной LTS-версии.

Три проблемы вокруг ACAP: почему это отдельный риск

AXIS Camera Application Platform позволяет устанавливать приложения непосредственно на устройство. Это мощная возможность, но она расширяет поверхность атаки.

CVE-2026-6505

TOCTOU race condition в ACAP framework с потенциальным privilege escalation.

CVE-2026-5303

Ещё одна TOCTOU-проблема в ACAP framework, также связанная с установкой malicious unsigned ACAP.

CVE-2026-5304

Недостаточная валидация ACAP configuration file с возможностью повышения привилегий.

Для CVE-2026-5303 и CVE-2026-5304 Axis отдельно указывает важные условия: устройство должно разрешать установку unsigned ACAP, а атакующему нужно добиться установки malicious ACAP application.

Если unsigned ACAP запрещены, риск части CVE резко ниже

Это один из самых практичных выводов. Если на объекте нет необходимости устанавливать неподписанные приложения, такую возможность не стоит оставлять включённой.

Принцип минимальной функциональности:

если возможность не используется, она не должна оставаться доступной «на будущее».

Почему недостаточно просто посмотреть «AXIS OS 12.11»

Исправления вошли в разные минорные сборки. Например, CVE-2026-5304 закрыта уже в 12.11.12, а для CVE-2026-4757 требуется 12.11.44 или новее.

Для полного закрытия именно этого набора CVE на Active Track ориентируйтесь минимум на AXIS OS 12.11.44 или более новую совместимую версию.

При этом конкретное устройство может находиться на LTS или иметь собственный график поддержки. Перед обновлением нужно проверять страницу своей модели и release notes.

У кого риск выше

Камера доступна из WAN

Поверхность атаки выше, особенно если открыт web/VAPIX.

Используются общие admin credentials

Компрометация одного сервиса даёт слишком широкие права.

Разрешены unsigned ACAP

Это необходимое условие для части раскрытых ACAP-сценариев.

Старая AXIS OS

Накопившиеся security fixes повышают важность планового обновления.

Камеры находятся в общей LAN

Компрометация другого устройства может дать путь к management-интерфейсу камер.

Сторонние интеграции используют admin

Service account должен иметь только необходимые права.

Что проверить владельцу Axis

  1. Определите точную модель устройства.
  2. Посмотрите текущую версию AXIS OS.
  3. Проверьте доступный для модели Active/LTS update.
  4. Сопоставьте версию с пятью CVE из таблицы.
  5. Проверьте, разрешена ли установка unsigned ACAP.
  6. Проверьте установленные ACAP applications.
  7. Проверьте пользователей и service accounts.
  8. Уберите лишние administrator privileges.
  9. Проверьте доступность web/VAPIX из WAN, Guest и IoT.
  10. Перед обновлением сохраните конфигурацию и проверьте совместимость NVR/VMS.

Как обновлять AXIS OS без лишнего риска

Axis рекомендует обновлять затронутые устройства. Но на рабочих системах видеонаблюдения важно учитывать интеграцию с NVR/VMS, ACAP-приложениями и API.

Active Track быстрее получает новые функции

Подходит, когда важны новые возможности и интеграции протестированы.

LTS фиксированная функциональная база

Удобна для сторонних систем, где важна предсказуемость совместимости.

Axis отдельно предупреждает, что начиная с некоторых новых веток upgrade path может требовать установки промежуточной LTS-версии. Поэтому перескакивать через несколько крупных веток без чтения инструкции не стоит.

Что сделать кроме обновления

  • не публиковать web-интерфейс камеры напрямую в интернет;
  • использовать отдельную VLAN для CCTV;
  • разрешать management только с доверенных адресов;
  • использовать HTTPS для управления;
  • создать отдельные service accounts для интеграций;
  • не выдавать administrator там, где достаточно viewer/operator;
  • удалить ненужные ACAP applications;
  • отключить неподписанные ACAP, если они не требуются;
  • использовать VPN для удалённого администрирования;
  • следить за Security Advisories и AXIS OS release notes.

Почему проброс порта камеры в интернет остаётся плохой идеей

Даже если конкретная CVE требует аутентификации, прямой WAN-доступ повышает вероятность перебора паролей, эксплуатации будущих ошибок и сканирования сервисов.

Internetне доверяем
×
Camera managementне публикуем напрямую
←
VPN / VMSконтролируемый доступ

После обновления обязательно проверьте NVR и сторонний VMS

Если Axis используется с Milestone, Genetec, Nx, Synology Surveillance Station, сторонним NVR или собственным VAPIX-клиентом, после обновления стоит проверить:

  • основной видеопоток;
  • ONVIF events;
  • VAPIX events;
  • двустороннее аудио;
  • PTZ;
  • metadata analytics;
  • ACAP applications;
  • сертификаты и HTTPS;
  • учётные записи интеграций.

Есть ли признаки массовой эксплуатации

В опубликованных CVE-записях для рассматриваемых уязвимостей CISA-ADP на момент раскрытия указывала exploitation: none. Это означает, что речь не идёт о подтверждённой массово эксплуатируемой атаке на момент публикации.

Но наличие готовых исправлений делает ожидание бессмысленным: поддерживаемые устройства разумно обновить в плановое окно обслуживания.

Частые вопросы

Можно ли взломать AXIS OS без пароля через CVE-2026-4757?

По опубликованному описанию нет: требуется предварительная аутентификация с administrator-privileged service account.

Достаточно обновиться до 12.11.12?

Нет, если нужно закрыть весь рассматриваемый набор. CVE-2026-4757 исправлена в 12.11.44.

Если я не использую ACAP, нужно ли обновляться?

Да. Не все пять уязвимостей относятся только к ACAP. В частности, CVE-2026-4757 затрагивает VAPIX, а CVE-2026-6181 — Device Configuration Framework.

Нужно ли открывать камеры Axis в интернет для удалённого просмотра?

Нет. Предпочтительнее VPN, защищённый VMS/NVR-доступ или предусмотренный производителем безопасный сервис.

Что делать со старыми устройствами, которые не получают 12.11?

Проверьте поддерживаемый LTS track и страницу конкретной модели. Axis выпускает security patches и для поддерживаемых LTS-веток по своему maintenance schedule.

Вывод

Пакет из пяти CVE в AXIS OS не выглядит как unauthenticated wormable-уязвимость, но его нельзя игнорировать. Самая серьёзная проблема затрагивает VAPIX и при наличии административной учётной записи может привести к выполнению кода и повышению привилегий.

Для Active Track наиболее простой ориентир — AXIS OS 12.11.44 или более новая совместимая версия. Параллельно стоит убрать лишние admin/service accounts, запретить unsigned ACAP без необходимости, закрыть management из WAN и изолировать CCTV в отдельном сегменте.

  • Другие полезные материалы