Las vulnerabilidades de las cámaras CareCam abren la puerta al vídeo en directo, al acceso root y al robo de credenciales Wi‑Fi

Siete vulnerabilidades de la cámara IP CareCam CM2507 exponen funciones que van desde la transmisión de vídeo sin autenticación hasta la ejecución arbitraria de código y la recuperación de credenciales de redes inalámbricas.

El producto afectado utiliza CareCam HMT.CM2507 Firmware v251211.1507, clasificado como known_affected. No se ha identificado ninguna versión de firmware corregida ni ninguna solución alternativa proporcionada por el fabricante.

Las vulnerabilidades afectan a distintos límites de confianza. Algunas pueden explotarse de forma remota sin credenciales, mientras que otras requieren acceso a la red local, acceso al sistema de archivos o control físico de la cámara. Utilizadas conjuntamente, podrían permitir que un atacante pasara de la vigilancia y el acceso a la gestión a comprometer de forma persistente el dispositivo o infiltrarse en la red inalámbrica conectada.

CareCam tiene su sede en China. Sus cámaras se utilizan en todo el mundo y están asociadas al sector de infraestructuras críticas de instalaciones comerciales. Ben Law comunicó los hallazgos a CISA.

Dos vulnerabilidades de red exponen el vídeo y funciones de gestión privilegiadas

Los riesgos más inmediatos proceden de servicios accesibles a través de la red sin una autenticación válida.

CVE-2026-88259 afecta al servicio de transmisión de vídeo en red de la cámara. La CM2507 proporciona vídeo en directo sin verificar previamente la identidad del solicitante, lo que permite a cualquiera que pueda acceder al servicio obtener la señal de la cámara.

La vulnerabilidad está clasificada como CWE-306, Missing Authentication for Critical Function. Recibió una puntuación CVSS v3.1 de 7,5 HIGH y una puntuación CVSS v4.0 de 8,7 HIGH. Para explotarla no se requieren privilegios, interacción del usuario ni condiciones inusuales.

El resultado es una pérdida directa de la confidencialidad del vídeo. Dependiendo del lugar donde esté instalada la cámara, una transmisión expuesta podría revelar a sus ocupantes, patrones de actividad, controles de seguridad física o actividades dentro de una instalación comercial.

CVE-2026-84398 crea una vía independiente de acceso al servicio de gestión ONVIF. Una cuenta privilegiada acepta una contraseña vacía, lo que permite a un atacante conectado a la red acceder a funciones de gestión sin conocer ninguna credencial.

A través de esa cuenta, un atacante podría obtener información sobre el dispositivo, los usuarios configurados, los perfiles multimedia y la configuración de las transmisiones. Este problema está clasificado como CWE-258, Empty Password in Configuration File, y presenta las mismas puntuaciones que la vulnerabilidad de vídeo: 7,5 HIGH según CVSS v3.1 y 8,7 HIGH según CVSS v4.0.

Estas vulnerabilidades no dependen del phishing ni de ninguna otra acción del usuario. El principal requisito es poder acceder a la red.

Las interfaces de mantenimiento y físicas amplían la superficie de ataque

Otras tres vulnerabilidades exponen funciones de depuración, medios extraíbles y cargador de arranque.

CVE-2026-84400 afecta a un mecanismo de mantenimiento de red protegido de forma inadecuada. En determinadas condiciones del estado del dispositivo, un atacante conectado a la misma red local podría utilizarlo para hacer accesible un servicio de depuración remota. Esa interfaz podría aumentar posteriormente la probabilidad de que se realizaran operaciones administrativas no autorizadas.

La vulnerabilidad requiere acceso a la red adyacente. Su puntuación CVSS v3.1 es de 3,1 LOW, debido a su elevada complejidad de ataque, mientras que su puntuación CVSS v4.0 es de 2,3 LOW e incluye un requisito de ataque físico en el vector. No se han divulgado las condiciones exactas del estado del dispositivo necesarias para explotarla.

El acceso físico ofrece opciones más potentes.

Con CVE-2026-81305, la cámara ejecuta automáticamente un script predeterminado encontrado en un medio extraíble sin verificar su autenticidad ni su integridad. Por tanto, un atacante capaz de conectar un medio preparado podría ejecutar código malicioso en el contexto de seguridad del dispositivo.

No se requiere ninguna cuenta ni interacción del usuario una vez obtenido el acceso físico. La vulnerabilidad, clasificada como CWE-829, podría comprometer la confidencialidad, la integridad y la disponibilidad. Está valorada con 6,8 MEDIUM según CVSS v3.1 y 7,0 HIGH según CVSS v4.0.

CVE-2026-85478 expone un cargador de arranque interactivo a través de una interfaz física de depuración sin autenticación. Un atacante puede interrumpir la secuencia normal de arranque e inspeccionar o modificar la configuración de arranque, los datos del firmware y el software cargado por la cámara.

Esta vulnerabilidad del cargador de arranque tiene una puntuación CVSS v3.1 de 3,5 LOW y una puntuación CVSS v4.0 de 2,4 LOW. Aunque sus puntuaciones son inferiores a las de las vulnerabilidades remotas, el acceso a la cadena de arranque puede facilitar el análisis, la modificación y la persistencia de formas que los controles de gestión habituales podrían no detectar.

Las débiles protecciones de almacenamiento ponen en riesgo el acceso root y las credenciales Wi‑Fi

Las dos puntuaciones CVSS v4.0 más altas corresponden a secretos almacenados en la cámara.

CVE-2026-85497 se debe al uso de un hash heredado fijo para la contraseña de la cuenta root. El mecanismo de hash no impone un coste computacional suficiente para ofrecer una resistencia adecuada frente al cracking offline.

Un atacante que obtenga la imagen del firmware o la base de datos de contraseñas podría recuperar la credencial root subyacente. Si las cámaras que utilizan el mismo firmware emplean credenciales idénticas o reutilizadas, la contraseña recuperada también podría funcionar en otros dispositivos.

El problema está clasificado como CWE-916, Use of Password Hash With Insufficient Computational Effort. Recibió 7,5 HIGH según CVSS v3.1 y 9,3 CRITICAL según CVSS v4.0, y la evaluación más reciente considera elevados los posibles efectos sobre la confidencialidad, la integridad y la disponibilidad.

CVE-2026-81321 expone el identificador de la red inalámbrica y la clave precompartida porque la cámara los almacena en texto claro dentro de su sistema de archivos. El atacante debe obtener primero acceso al sistema de archivos, posiblemente mediante control físico, una interfaz de depuración u otra vulnerabilidad.

Una vez recuperadas, las credenciales podrían proporcionar acceso a la red inalámbrica utilizada por la cámara. Cambiar únicamente la contraseña administrativa de la cámara no resolvería esa exposición secundaria.

Esta vulnerabilidad de almacenamiento en texto claro, clasificada como CWE-312, también está valorada con 7,5 HIGH según CVSS v3.1 y 9,3 CRITICAL según CVSS v4.0. Los vectores basados en red indicados reflejan las consecuencias de obtener y utilizar los secretos, aunque recuperar el sistema de archivos pueda requerir una vía de acceso independiente.

La combinación de las vulnerabilidades podría convertir una cámara en un punto de apoyo más amplio

Los siete hallazgos tienen consecuencias más graves cuando se consideran como vías de ataque conectadas y no como fallos aislados.

Un atacante remoto podría comenzar viendo vídeo en directo mediante CVE-2026-88259 o consultando funciones ONVIF privilegiadas mediante CVE-2026-84398. Un atacante que ya estuviera en la red local también podría intentar exponer el servicio de depuración afectado por CVE-2026-84400.

El acceso físico permite un compromiso más profundo. Un medio extraíble malicioso puede activar la ejecución de código mediante CVE-2026-81305, mientras que el cargador de arranque sin autenticación de CVE-2026-85478 permite inspeccionar o modificar componentes del dispositivo de bajo nivel.

Esas vías de acceso podrían facilitar la extracción de la base de datos de contraseñas o del sistema de archivos. A continuación, el atacante podría crackear el débil hash de la contraseña root afectado por CVE-2026-85497 y recuperar las credenciales Wi‑Fi almacenadas en texto claro mediante CVE-2026-81321.

Las consecuencias podrían extenderse más allá de una sola cámara. Una contraseña root compartida podría exponer otros dispositivos CM2507 que utilizaran las mismas credenciales de firmware, mientras que una clave precompartida inalámbrica recuperada podría proporcionar acceso a sistemas de la red asociada.

No se ha identificado ningún firmware correctivo

A fecha de 16 de septiembre de 2026, no se ha identificado ninguna actualización de firmware del fabricante, versión corregida ni solución alternativa específica para el producto. Tampoco se sabe si están afectadas otras versiones del firmware de la CM2507 distintas de HMT.CM2507 Firmware v251211.1507.

CISA recomienda reducir la exposición de la red y asegurarse de que las cámaras no sean accesibles directamente desde internet. Las redes de cámaras deben separarse de los sistemas corporativos y situarse detrás de firewalls. Cuando la administración remota sea imprescindible, el acceso debe realizarse mediante una VPN actualizada y desde endpoints estrictamente controlados.

Las organizaciones también deberían:

• Restringir el acceso a los servicios ONVIF, de transmisión y de mantenimiento.
• Supervisar las conexiones de vídeo y las solicitudes ONVIF inesperadas.
• Detectar servicios de depuración expuestos recientemente o tráfico de mantenimiento anómalo.
• Controlar el uso de medios extraíbles e inspeccionar las cámaras para detectar conexiones no autorizadas.
• Proteger los conectores de depuración, el acceso al cargador de arranque y los equipos de red cercanos.
• Vigilar los cambios en el firmware, el software o la configuración de arranque.
• Tratar las imágenes de firmware, los sistemas de archivos y las bases de datos de contraseñas como material sensible.
• Rotar las claves precompartidas inalámbricas y las credenciales administrativas que puedan haberse visto expuestas.
• Comprobar si se comparte una misma credencial entre varias cámaras.

Dado que CVE-2026-81321 puede revelar una clave de red, la rotación de credenciales debe abarcar la infraestructura inalámbrica y no limitarse al dispositivo afectado.

El estado de explotación sigue sin estar claro

El aviso de CISA sobre las vulnerabilidades de CareCam CM2507 no identifica actividad de explotación pública. Tampoco indica que alguno de los siete CVE se haya añadido al catálogo de Vulnerabilidades Explotadas Conocidas de CISA, por lo que no se conoce ninguna fecha de inclusión en KEV ni ningún plazo federal de corrección.

Las organizaciones no deben interpretar la ausencia de explotación divulgada como una prueba de que las cámaras expuestas sean seguras. Dos vulnerabilidades solo requieren acceso a la red y no necesitan credenciales, mientras que las vulnerabilidades físicas y de almacenamiento de credenciales ofrecen varias vías para lograr un compromiso más profundo una vez que el atacante alcanza el dispositivo.