CVE-2026-87827

KrytyczneCVSS 10.0

Opublikowano: 09/09/2026(UTC)Przetłumaczono: 09/09/2026(UTC)NVD NIST

Streszczenie

Niektóre urządzenia DVR firmy KGUARD z podatnym oprogramowaniem układowym udostępniają usługę wykonywania poleceń systemowych na wszystkich interfejsach sieciowych bez wymaganego uwierzytelnienia. Zdalny, nieuwierzytelniony atakujący może wykonać dowolne polecenia systemowe, co może doprowadzić do całkowitego przejęcia urządzenia. Podatność była wykorzystywana przez botnety Mirai_ptea i Mirai_aurora do rozprzestrzeniania złośliwego oprogramowania i ataków DDoS.

Ocena ryzyka

Urządzenia DVR mogą zostać przejęte przez atakujących i włączone do botnetów, co zagraża integralności sieci i może prowadzić do ataków DDoS na inne systemy.

Rekomendacja

Zaleca się aktualizację oprogramowania układowego urządzeń DVR do wersji wydanej po 2017 roku, która ogranicza dostęp do usługi tylko do interfejsu lokalnego (127.0.0.1).

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

Certain KGUARD DVR devices running vulnerable firmware expose a system command execution service on all network interfaces without requiring authentication. A remote unauthenticated attacker with network access to the affected service can execute arbitrary system commands on the device, potentially resulting in complete compromise of the DVR. The vulnerability is known to have been exploited in the wild by the Mirai_ptea (Rimasuta) and Mirai_aurora botnets for malware propagation and subsequent DDoS activity. The vulnerability was reported to affect firmware dating from 2016, while firmware released after 2017 appears to mitigate the issue by restricting the affected service to the localhost interface (127.0.0.1) instead of exposing it on all interfaces (0.0.0.0). The affected-device list reported by Netlab includes many D1004NR, D1008NR, D1016NR, D1104, D1104NR, D1108NR, D1116NR, D1132NR, D2116NR, D97xx, D98xx, and D99xx variants and several associated hardware revisions The exploit is included in some version of rapperbot and exploited in 2026. This assignment has been made to document the active exploitation and lack of documentation from the vendor.