8 октября 2026 г. — Камеру часто рассматривают как пассивную часть системы безопасности: она следит за дверью, погрузочной площадкой или периметром и записывает происходящее. Последние рекомендации CISA относительно IP-камер CareCam являются полезным уточнением к этому предположению. Подключенная камера также является сетевым компьютером с учетными данными, встроенным программным обеспечением, службами и потенциально привилегированным доступом к рабочим процессам организации.

В сентябре 2026 года Агентство по кибербезопасности и защите инфраструктуры США (CISA) опубликовало два предупреждения для промышленных систем управления, касающиеся конкретных продуктов камер CareCam. Эти сообщения не означают, что все IP-камеры небезопасны, и не подтверждают наличие кампании против затронутых устройств. CISA заявило, что не имело известных случаев публичной эксплуатации этих уязвимостей. Однако проблемы имеют важное оперативное значение: одна затрагивает доступ к видео в реальном времени без аутентификации, а другая касается жестко закодированных учетных данных в загрузчике.

Для менеджеров по безопасности, интеграторов и операторов объектов информация выходит за рамки двух упомянутых продуктов. Видеонаблюдение следует рассматривать как средство обеспечения физической безопасности и как класс активов в области кибербезопасности. Установка остается крайне важной; не менее важна и последующая управленческая поддержка после установки.

Два разоблачения в сентябре, два разных пути к компромиссу

8 сентября 2026 годаCISA опубликовала уведомление ICSA-26-251-01под названием «IP-камеры CareCam Pro». В нем указана CVE-2026-85083, связанная с жестко закодированными учетными данными загрузчика, затрагивающая прошивку CareCam ANJIA AJL33PC0801. Затронутая прошивка указана как linux_linux_202008261138_svn13796 / Bootloader U-Boot 2010.06, скомпилированная 26.08.2020.

CISA оценила эту проблему на 6,8 (средняя) в соответствии со стандартом CVSS v3.1. Указанный вектор атаки является физическим, а не удаленным, однако последствия не следует игнорировать из-за этого уточнения: успешная эксплуатация может дать злоумышленнику полный контроль над устройством. В оценке CISA зафиксировано влияние на конфиденциальность, целостность и доступность. Проще говоря, физически доступная камера может стать точкой входа для доступа к видеозаписям, настройкам и доверительным отношениям вокруг устройства.

Неделю спустя, 15 сентября 2026 года, CISA опубликовала ICSA-26-258-08, касающийся видеокамеры CareCam CM2507 с прошивкой версии v251211.1507. Это уведомление особенно актуально для всех, кто отвечает за конфиденциальность данных на объекте, поскольку в нем перечислены многочисленные уязвимости: отсутствие аутентификации для потоковой передачи видео, раскрытие пустого пароля через управление ONVIF, слабые механизмы хранения учетных данных и хранение учетных данных беспроводной сети в открытом виде.

Основная проблема — CVE-2026-88259. По данным CISA, для доступа к сервису потоковой передачи видео по сети камерам CM2507, затронутым уязвимостью, не требуется аутентификация. Неаутентифицированный злоумышленник, уже имеющий доступ к сети, может получить доступ к видео в режиме реального времени. Это не просто проблема качества программного обеспечения. В контексте камер, охватывающих входы, производственные помещения, склады, переговорные комнаты или перемещения персонала, это прямая проблема конфиденциальности.

Почему неаутентифицированное видео в режиме реального времени меняет подход к обсуждению рисков

Физическая безопасность обычно фокусируется на том, что камера может показать после события: кто вошел, куда переместился предмет, была ли открыта дверь. Уязвимость в виде прямой трансляции меняет эту перспективу. Она может позволить неавторизованному наблюдателю узнать, как функционирует объект до события: схемы патрулирования, графики доставки, занятые зоны, слепые зоны, методы контроля доступа и наличие ценного оборудования.

Именно поэтому раскрытие информации о CareCam CM2507 выходит за рамки технического термина «отсутствие аутентификации». MITRE классифицирует это семейство уязвимостей как CWE-306, «Отсутствие аутентификации для критически важной функции». Критически важной функцией в данном случае является не абстрактное административное действие, а передача изображений в реальном времени с устройства видеонаблюдения.

Последствия могут выходить за рамки простого просмотра изображений. В рекомендациях CISA также отмечается хранение учетных данных беспроводной сети в открытом виде. Если учетные данные, используемые камерой, будут раскрыты, масштаб инцидента может распространиться от одной конечной точки до всей сети, к которой она имеет доступ. Это одна из причин, почему камеры, видеорегистраторы и системы управления видео не должны автоматически обладать тем же уровнем доверия к сети, что и офисные рабочие станции или критически важные операционные системы.

Суть не в том, чтобы поднимать тревогу вокруг каждого подключенного объектива. Правильно подобранное, развернутое и обслуживаемое оборудование может предоставить ценные доказательства и служить сдерживающим фактором. Важно перестать рассматривать камеру как герметичное устройство после ее установки. Независимо от того, использует ли система проводное видеонаблюдение, Wi-Fi-подключение или сотовую связь, у нее есть уязвимое место, требующее ответственного владельца, учета и процесса реагирования.

«Физический» не означает «не имеющий значения»

Обнаруженная уязвимость CareCam Pro заслуживает иной модели угроз. Вектор атаки CVSS в этом случае физический. Это отличает ее от сетевого видеопотока, но не делает ее чисто теоретической.

Наружные камеры, устройства, установленные в общедоступных местах, камеры на низко расположенных фасадах, в торговых помещениях и незащищенных технических шкафах — все это может быть более доступно, чем предполагает реестр активов. Физический доступ к устройству может возникнуть во время технического обслуживания, ремонта, отключения электроэнергии, передачи объекта заказчику или просто потому, что оно было установлено для обеспечения зоны покрытия, а не для защиты от несанкционированного доступа.

Встроенные в код учетные данные особенно сложно контролировать, поскольку они заложены в продукт, а не выбираются и меняются клиентом. Компания MITRE описывает эту схему в документе CWE-798 «Использование встроенных в код учетных данных». Проблема не в том, что каждые встроенные учетные данные будут использованы злоумышленниками; проблема в том, что организация не может полагаться на свою обычную дисциплину управления паролями для удаления учетных данных, которые она не контролирует.

Для групп видеонаблюдения это восстанавливает связь между физической и киберустойчивостью. Корпус камеры, место крепления и доступный сервисный порт — это не только детали установки. Они могут влиять на то, насколько целесообразно использовать уязвимость на уровне прошивки. Аналогично, кибер-контроль, такой как сегментация, определяет, насколько далеко может распространиться инцидент, если одно устройство будет скомпрометировано.

Вопросы управления, которые следует задать сейчас

Рекомендации, опубликованные в сентябре, не являются поводом для поспешной замены всех камер. Они являются основанием для целенаправленного пересмотра, особенно в тех случаях, когда организация не может быстро установить, кто поставил устройство, какая версия прошивки на нем установлена ​​или как оно подключается к сети.

1. Может ли организация идентифицировать свои камеры видеонаблюдения?

Начните с фактов, а не с предположений: модель, серийный номер или идентификатор актива, версия прошивки, физическое местоположение, сетевой сегмент, адрес управления, связанный регистратор или VMS и указание владельца бизнеса. Включите менее заметные компоненты системы видеонаблюдения: сетевые видеорегистраторы (NVR), коммутаторы PoE, шлюзы удаленного доступа и мобильные приложения для управления. Если появится уведомление от поставщика, эта запись определит, сможет ли команда оценить риски в течение нескольких часов, а не дней.

2. Доступ к видео в режиме реального времени имеют только предназначенные для этого пользователи и системы?

Проверьте пути потоковой передачи и службы управления, включая ONVIF, если он используется. Потоки с камер не должны быть доступны из гостевых сетей, общих офисных сетей или общедоступного интернета. Доступ должен быть ограничен авторизованными пользователями и назначенными платформами с уникальными учетными данными и средствами аутентификации, соответствующими системе. В случае Wi-Fi-видеонаблюдения беспроводная сеть должна рассматриваться как часть системы безопасности, а не просто как удобный транспортный уровень.

3. Является ли видеосеть сегментированной?

В рекомендациях CISA по защите, содержащихся в документах CareCam, говорится о минимизации сетевых уязвимостей, обеспечении недоступности устройств системы управления напрямую из интернета и их изоляции за межсетевыми экранами. Применительно к IP-видео, практический принцип ясен: не следует использовать камеры, сетевые видеорегистраторы, инфраструктуру VMS, офисную ИТ-инфраструктуру и конфиденциальные системы как единую, взаимодоверяющую сеть.

Сегментация не может устранить все недостатки продукта, но она может ограничить круг лиц, имеющих доступ к уязвимому сервису, и минимизировать последствия в случае взлома устройства. Определите, каким системам действительно необходимо взаимодействовать с камерами, заблокируйте остальные и ограничьте административные интерфейсы контролируемыми путями управления.

4. Что произойдет, если поставщик не ответит?

В обоих сентябрьских уведомлениях CISA заявляет, что CareCam не ответила на ее попытки координации и советует пользователям связаться с поставщиком для получения дополнительной информации. Это важный сигнал, касающийся закупок и жизненного цикла продукта. Покупатель должен иметь возможность убедиться не только в существовании поставщика, но и в том, как он обрабатывает сообщения о проблемах безопасности, публикует исправления прошивки, сообщает о поддерживаемых версиях и реагирует, когда продукт становится угрозой безопасности.

В случаях, когда обновление недоступно, статус поддержки неясен или невозможно с уверенностью оценить состояние камеры, решающим моментом становятся компенсирующие меры контроля: изоляция устройства, отключение ненужных служб, жесткое ограничение доступа к управлению, ротация потенциально уязвимых учетных данных Wi-Fi, ограничение или блокировка исходящего подключения там, где это возможно, и рассмотрение вопроса о замене устройства в случаях высокой степени уязвимости. Это вопрос управления, а не разовая задача по установке.

Важное различие: доказательства риска не являются доказательством активной кампании

Сообщения о безопасности наиболее полезны, когда они точны. Информация, предоставляемая CISA, содержит достоверные доказательства уязвимостей в указанных продуктах CareCam и версиях микропрограммного обеспечения. На момент публикации она несодержит доказательств известной публичной эксплуатации этих уязвимостей. Организациям следует избегать превращения рекомендаций по продукту в необоснованное утверждение о взломе каждой установленной системы.

Этот нюанс не уменьшает необходимости действовать. Он уточняет действия: проверить, существуют ли затронутые продукты и версии в среде; оценить практический риск; связаться с поставщиком; применить доступные меры по устранению проблемы; и использовать компенсирующие меры контроля в тех случаях, когда устранение проблемы неясно. Для групп, ответственных за безопасность помещений, требующих повышенного внимания, этот анализ может проводиться параллельно с более широкими, утвержденными рекомендациями по противодействию слежке , при этом следует учитывать, что обеспечение безопасности при использовании сетевых камер требует иных инструментов и ответственности, чем при физическом обследовании.

Главный вывод редакции: камерам нужны владельцы после ввода в эксплуатацию

Главный вывод из рекомендаций CISA по использованию камер видеонаблюдения CareCam от сентября 2026 года заключается не в том, что к технологиям видеонаблюдения следует относиться с недоверием по умолчанию. Он состоит в том, что камеру нельзя оценивать только по разрешению, зоне охвата, качеству ночного видения или положению крепления. После подключения она становится устройством, обрабатывающим конфиденциальные визуальные данные и участвующим в сети.

Для современной системы безопасности более важным вопросом является не только: «Видит ли эта камера нужную область?», но и: «Кто может видеть ее видеопоток, кто может управлять ею, какое программное обеспечение на ней установлено, как она изолирована и кто будет реагировать при обнаружении уязвимости?»

Это практический стандарт для систем видеонаблюдения в конце 2026 года: установка — это начало жизненного цикла системы безопасности, а не его конец.

Источники

• CISA, ICSA-26-251-01: IP-камеры CareCam Pro, 8 сентября 2026 г.: https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/OT/white/2026/icsa-26-251-01.json
• CISA, ICSA-26-258-08: CareCam CM2507, 15 сентября 2026 г.: https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/OT/white/2026/icsa-26-258-08.json
• Уведомление CISA о выпуске информационного бюллетеня от 8 сентября 2026 г.: https://content.govdelivery.com/accounts/USDHSCISA/bulletins/428f494
• MITRE CWE-798, Использование жестко закодированных учетных данных: https://cwe.mitre.org/data/definitions/798.html
• MITRE CWE-306, Отсутствие аутентификации для критически важной функции: https://cwe.mitre.org/data/definitions/306.html