Hikvision CVE-2026-16843: какие точки доступа и сетевые устройства нужно обновить
Hikvision · CVE-2026-16843

Hikvision закрывает CVE-2026-16843: какие точки доступа и сетевые устройства нужно обновить

Hikvision сообщил об уязвимости командной инъекции в части беспроводных точек доступа и сетевых устройств. Для эксплуатации нужны действующие учётные данные с высокими привилегиями, но после успешной атаки возможно выполнение произвольных команд на устройстве.

CVSS 7.2 High CWE-78 Authenticated Command Injection
Важно: это не unauthenticated RCE и не уязвимость всех камер Hikvision. CVE-2026-16843 затрагивает конкретные модели беспроводных точек доступа и сетевого оборудования. Для эксплуатации атакующему нужны валидные учётные данные с высокими привилегиями.

Что произошло

Hikvision Security Response Center опубликовал бюллетень HSRC-202607-03. Первичная публикация датирована 31 июля 2026 года, документ был обновлён 3 августа 2026 года. Уязвимости присвоен идентификатор CVE-2026-16843.

Причина связана с недостаточной проверкой входных данных. Атакующий с действующими учётными данными может отправить специально сформированные данные с вредоносными командами и добиться их выполнения на устройстве. По классификации CWE это OS Command Injection, CWE-78.

Насколько серьёзна CVE-2026-16843

7.2 CVSS 3.1 · High

Вектор оценки: AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H. Это означает сетевую эксплуатацию с низкой сложностью, но при наличии высоких привилегий. Взаимодействие пользователя не требуется, а успешная эксплуатация может затронуть конфиденциальность, целостность и доступность устройства.

Какие модели затронуты

Модель Уязвимые версии Исправленная версия
DS-3WAP521-SIV1.1.6601 build251223 и ранееV1.1.6602 build260526
DS-3WAP522-SIV1.1.6601 build251223 и ранееV1.1.6602 build260526
DS-3WAP621E-SIV1.1.6601 build251223 и ранееV1.1.6602 build260526
DS-3WAP622E-SIV1.1.6601 build251223 и ранееV1.1.6602 build260526
DS-3WAP623E-SIV1.1.6601 build251223 и ранееV1.1.6602 build260526
DS-3WAP622G-SIV1.1.6601 build251223 и ранееV1.1.6602 build260526
DS-3WG105G-SIV1.0.6601 build251223 и ранеепроверить актуальную версию на странице модели
DS-3WG105GP-SIV1.0.6601 build251223 и ранеепроверить актуальную версию на странице модели
DS-3WG210GP-SIV1.0.6601 build251223 и ранеепроверить актуальную версию на странице модели
DS-3WG507G-SIV1.0.6601 build251223 и ранеепроверить актуальную версию на странице модели

Для моделей серии DS-3WG перед обновлением нужно сверять прошивку именно на официальной странице конкретной модели: производитель может публиковать разные сборки для разных аппаратных ревизий и регионов.

Что нужно сделать владельцу оборудования

  1. Определить точную модель. Не ориентируйтесь только на внешний вид устройства или название серии.
  2. Проверить установленную прошивку. Сравните номер версии и build с данными из бюллетеня Hikvision.
  3. Скачать прошивку только для своей модели. Нельзя устанавливать firmware от похожего устройства или другой аппаратной ревизии.
  4. Сохранить конфигурацию. Перед обновлением рабочего объекта сделайте резервную копию настроек.
  5. Обновить учётные данные. Если административный пароль использовался на нескольких устройствах, его лучше заменить на уникальный.
  6. Проверить сетевые ограничения. Управление точками доступа не должно быть доступно всем VLAN и тем более напрямую из интернета без необходимости.

Почему требование авторизации не делает проблему безопасной

Высокие привилегии уменьшают вероятность случайной эксплуатации из интернета, но не отменяют риск. Компрометация административной учётной записи может произойти из-за повторно используемого пароля, утечки credentials, фишинга, вредоносного ПО на компьютере администратора или чрезмерно широкого доступа к панели управления.

Если один и тот же пароль используется на точках доступа, камерах, NVR и сетевом оборудовании, компрометация одного устройства может облегчить дальнейшее перемещение по инфраструктуре.

Как безопаснее организовать сеть Hikvision

Отдельный management-доступ

Разрешайте управление точками доступа только с доверенных устройств или из выделенного административного сегмента.

VLAN и firewall

Камеры, NVR, IoT и Wi-Fi-инфраструктуру лучше разделять и разрешать между сегментами только необходимые соединения.

VPN вместо открытого веб-интерфейса

Для удалённого администрирования безопаснее сначала подключаться к сети через VPN, а затем открывать локальный интерфейс устройства.

Уникальные пароли

Не используйте один административный пароль на всей инфраструктуре и не выдавайте полные права повседневным учётным записям.

Чего делать не стоит

  • Не обновлять устройство прошивкой от другой модели.
  • Не публиковать административную панель напрямую в WAN без необходимости.
  • Не считать P2P, VPN и проброс портов одним и тем же механизмом удалённого доступа.
  • Не использовать общий пароль администратора на десятках устройств.
  • Не отключать питание во время обновления firmware.

Связанные материалы

Можно ли взломать IP-камеру Hikvision VLAN для камер, IoT и рабочей сети Локальная видеоаналитика без облака

Частые вопросы

CVE-2026-16843 позволяет взломать Hikvision без пароля?

Нет. По официальному описанию для эксплуатации нужны валидные учётные данные с высокими привилегиями.

Уязвимы ли камеры Hikvision?

Этот конкретный бюллетень относится к перечисленным беспроводным точкам доступа и сетевым устройствам. Нельзя распространять его на все камеры и регистраторы Hikvision.

Почему CVSS высокий, если нужен пароль администратора?

Потому что после получения необходимых привилегий атака выполняется по сети с низкой сложностью и может привести к полному нарушению конфиденциальности, целостности и доступности устройства.

Достаточно ли просто сменить пароль?

Нет. Уникальный сложный пароль снижает риск компрометации учётной записи, но уязвимую версию firmware всё равно следует обновить.

Нужно проверить сеть камер или Wi-Fi на объекте?

Имеет смысл проверить версии прошивок, пароли, открытые сервисы, VLAN, удалённый доступ, камеры, NVR, точки доступа и правила между сегментами.

  • Интересное по теме