CVE-2026-86149: Kritisk fejl i Tenda CP3-kamera

CVE-2026-86149 er en sårbarhed i overvågningskameraet Tenda CP3, version 27.5.57.101. Fejlen sidder i filen Net/NetCheckPing.cpp, hvor parametrene interface_name og host ikke bliver renset ordentligt, før de sendes videre til kameraets styresystem. Det kaldes kommandoinjektion (os command injection): en angriber kan sætte egne systemkommandoer ind i et felt, som kameraet reelt bruger til at teste netværksforbindelser, og få kameraet til at udføre dem. Sårbarheden kan udnyttes over netværket uden at brugeren skal foretage sig noget, men kræver at angriberen allerede har adgang med høje rettigheder på kameraets administrationsgrænseflade, for eksempel som logget ind administrator.

Det rammer virksomheder og institutioner, der har Tenda CP3-kameraer i version 27.5.57.101 tilsluttet netværket, typisk som del af overvågning af butik, lager, kontor eller indgangsparti. Kameraet sælges ofte til private og mindre virksomheder som en billig løsning til fjernovervågning via app eller webgrænseflade. Er kameraets administrationsside tilgængelig fra internettet, eller deler det netværk med andre følsomme systemer, er risikoen størst.

Får en angriber adgang til kameraets administration, kan sårbarheden bruges til at få fuld kontrol over selve kameraets styresystem, ikke kun kameraets funktioner. Herfra kan angriberen se og manipulere videostreams, bruge kameraet som indgang til det interne netværk, eller inddrage det i et botnet. For en dansk virksomhed betyder det i praksis, at et enkelt overset kamera i receptionen eller på lageret kan blive springbræt til resten af netværket, herunder økonomisystemer og filservere.

CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke, at nogen bruger klikker på noget, og det kan udføres over netværket med lav teknisk kompleksitet. Til gengæld kræver det, at angriberen i forvejen har høje rettigheder, altså typisk gyldige administratoroplysninger til kameraet. Det betyder, at sårbarheden især er farlig, hvis kameraets adgangskode er standard, genbrugt eller på anden måde kompromitteret, eller hvis administrationsgrænsefladen er eksponeret direkte mod internettet. Der er ikke oplyst om aktiv udnyttelse i skarpe angreb, men der er offentliggjort tekniske detaljer, som gør det muligt for andre at udvikle et angreb.

Følgende handlinger bør udføres i den viste rækkefølge:

1. Undersøg om I har Tenda CP3-kameraer på version 27.5.57.101 i netværket, og opdatér til nyeste firmware fra Tenda, hvis en rettet version findes.
2. Skift straks adgangskoden til kameraets administratorkonto til en unik, stærk adgangskode, hvis I ikke allerede har gjort det.
3. Fjern kameraets administrationsgrænseflade fra direkte adgang via internettet, og sørg for at den kun kan tilgås fra internt, betroet netværk eller via VPN.
4. Placér kameraet på et separat netværk (VLAN) adskilt fra kontorets øvrige systemer, så et kompromitteret kamera ikke giver direkte adgang til resten af infrastrukturen.
5. Findes der ingen firmwareopdatering, som lukker sårbarheden, bør I overveje at udskifte kameraet eller isolere det helt fra netværket, indtil en løsning findes.
6. Er I i tvivl om, hvorvidt jeres opsætning er sårbar, eller mangler I ressourcer til at gennemgå netværkssegmentering, bør I søge hjælp hos en ekstern sikkerhedsrådgiver.