A GreyNoise registrou tentativas de exploração da CVE-2021-36260 em câmeras e gravadores da Hikvision entre 21 de setembro e 1º de outubro. A falha tem nota 9.8 na escala CVSS e executa comandos no equipamento sem nenhuma credencial.
O problema é uma injeção de comando no servidor web embarcado nesses produtos. A validação de entrada é insuficiente, então uma requisição montada com comandos maliciosos chega ao sistema operacional do aparelho e é executada.
A exploração acontece pela rede, sem autenticação e sem interação de quem usa o equipamento. Basta que a interface web esteja alcançável, o que torna a exposição direta à internet o fator decisivo.
Os ataques partiram de quatro endereços. Três eram saídas de uma VPN comercial na Lituânia e o quarto vinha de uma rede doméstica ucraniana. Os alvos estavam na Ucrânia, e os operadores usaram um template público do Nuclei feito para essa falha.
A GreyNoise documentou as tentativas, não a tomada de controle. Não há confirmação de que algum sistema de videomonitoramento tenha sido comprometido na campanha, apenas de que foi procurado e testado.
Chama atenção a idade da falha. Ela foi divulgada em 2021 e segue sendo varrida cinco anos depois, com ferramenta pronta e de uso livre. A Hikvision já publicou atualização de firmware, e a CISA recomenda aplicá-la.
Trocar a senha não resolve. A injeção de comando dispensa autenticação, então a credencial é irrelevante para o ataque. O caminho é atualizar o firmware, tirar as câmeras do acesso público e separar a rede de videomonitoramento da rede crítica.
