CVE-2026-86153: Kritisk fejl i Tenda CP3-kamera
Kritisk rettighedsfejl i Tenda CP3-kameraer (CVE-2026-86153) kan bruges til at omdirigere trafik. Isolér kameraerne og begræns admin-adgang nu.
Hvad er det?
CVE-2026-86153 er en fejl i rettighedsstyring i sikkerhedskameraet Tenda CP3, firmware 27.5.57.101. Fejlen sidder i funktionen CRedirServer::SetRedirectEnable i filen Redirect.cpp, som styrer omdirigering af netværkstrafik fra kameraet. Rettighedsstyring betyder de kontroller, som afgør, hvad en bruger må ændre på et system. Her fejler kontrollen, så en bruger kan udføre ændringer, som normalt kræver et højere niveau end tilsigtet, og angrebet kan ske over netværket uden fysisk adgang til kameraet.
Hvem rammer det?
Det rammer virksomheder og kommuner, der har installeret Tenda CP3-kameraer med firmware 27.5.57.101 på deres netværk, typisk til overvågning af butik, kontor eller produktion. Kameraer, der administreres af en ekstern IT-partner eller af flere medarbejdere med adgangskoder til admin-panelet, er særligt relevante at kigge på, fordi angrebet forudsætter en konto med høje rettigheder.
Hvad kan ske?
Har en angriber først fået adgang til en administratorkonto på kameraet, kan fejlen bruges til at ændre indstillinger for trafikomdirigering ud over det, kontoen egentlig er tiltænkt. I praksis kan det betyde, at videostrømmen omdirigeres til en server uden for virksomheden, at kameraet bruges som indgang til det interne netværk, eller at overvågningen sættes ud af drift uden at det opdages med det samme.
Hvor alvorligt er det?
CVSS-score er 9,1 af 10, kritisk. Angrebet kræver ikke brugerinteraktion og kan ske over netværket, men det forudsætter, at angriberen allerede har høje rettigheder, altså en administratorkonto på kameraet. Konsekvensen rammer fortrolighed, integritet og driftsstabilitet fuldt ud, og fejlen kan påvirke andet end selve den sårbare funktion, fordi angrebets omfang (scope) ændres. Der er ikke oplysninger om, at fejlen er udnyttet i praksis på offentliggørelsesdatoen.
Hvad gør jeg nu?
Der er endnu ikke offentliggjort en opdatering fra Tenda til denne fejl. Følgende skridt begrænser risikoen, mens I venter på en rettelse.
- Isolér Tenda CP3-kameraer på et separat netværk (VLAN) uden direkte forbindelse til resten af virksomhedens netværk, så en kompromitteret kamerakonto ikke kan bruges som indgang videre ind.
- Gennemgå, hvem der har administratoradgang til kameraerne, og fjern konti, der ikke er strengt nødvendige.
- Skift adgangskoder på alle administratorkonti til kameraerne, og undgå standardadgangskoder.
- Bloker fjernadgang til kameraernes administrationsgrænseflade fra internettet.
- Følg Tendas support- og sikkerhedsmeddelelser for en kommende firmwareopdatering, og installér den, så snart den er tilgængelig.
- Kontakt Auroa, hvis I ikke selv kan verificere netværksopsætningen eller har brug for hjælp til at segmentere kameraerne korrekt.
Isolér kameraerne inden for få dage
Vi anbefaler, at I straks kortlægger, hvor mange Tenda CP3-kameraer I har, og hvem der har administratoradgang til dem, samt sætter kameraerne på et isoleret netværk. Det er i orden at afvente en firmwareopdatering fra Tenda, så længe kameraerne er netværksmæssigt isoleret og administratoradgangen er begrænset til få, betroede konti. Er kameraerne tilgængelige fra internettet eller deler netværk med andre kritiske systemer, bør I handle først og vente sidst.
Tidslinje
Konkrete eksempler
Kompromitteret kamera-admin hos en dansk detailkæde
En dansk detailkæde bruger Tenda CP3-kameraer til overvågning af butikker og har en fælles administratorkonto, som deles med en ekstern IT-leverandør. Adgangskoden til kontoen lækkes i en tidligere datalæk og genbruges af en angriber. Angriberen udnytter fejlen i SetRedirectEnable til at omdirigere videostrømmen til en ekstern server, hvorved butikkens overvågning aflyttes uden at det bemærkes i flere uger.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-86153?
I er ramt, hvis I har Tenda CP3-kameraer med firmware 27.5.57.101 installeret. Tjek firmwareversionen i kameraets administrationsgrænseflade eller kontakt den, der har opsat kameraerne.
Kan vi vente til weekenden med at gøre noget?
Ja, hvis kameraerne allerede er isoleret fra internettet og resten af netværket, og adgangen til administratorkonti er begrænset. Er kameraerne tilgængelige udefra eller deler netværk med andre systemer, bør I isolere dem før weekenden.
Kræver angrebet, at nogen klikker på noget?
Nej, der skal ingen brugerinteraktion til. Angrebet sker direkte over netværket, men kræver, at angriberen allerede har fået adgang til en administratorkonto på kameraet.
Er der en opdatering, vi kan installere?
Der var ikke offentliggjort en opdatering fra Tenda på tidspunktet for offentliggørelsen af sårbarheden. Følg Tendas officielle kanaler for en kommende firmwareopdatering.
Skal vi anmelde dette?
Der er ikke krav om anmeldelse alene på baggrund af sårbarheden. Bliver kameraerne faktisk kompromitteret og persondata eller kritisk drift påvirkes, kan det udløse anmeldepligt efter databeskyttelsesreglerne, og I bør vurdere det konkret.
Hvordan tjekker vi, om vores kameraer allerede er misbrugt?
Se efter uventede ændringer i redirect-indstillinger, ukendte administratorkonti, eller uforklarlige afbrydelser i videostrømmen. Gennemgå også logfiler for adgang fra ukendte IP-adresser, hvis kameraet understøtter logning.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability has been found in Tenda CP3 27.5.57.101. This affects the function CRedirServer::SetRedirectEnable of the file Functions/Redirect.cpp. The manipulation leads to improper privilege management. Remote exploitation of the attack is possible.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.