Una grave vulnerabilidad que afecta a múltiples productos de Hikvision fue añadida al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 5 de marzo de 2026. Registrada globalmente bajo el código CVE-2017-7921, esta falla de seguridad representa un riesgo significativo para las organizaciones que dependen de estos populares sistemas de vigilancia. El fallo permite a usuarios maliciosos eludir los controles de seguridad estándar, escalar sus privilegios y obtener acceso no autorizado.

Una grave vulnerabilidad que afecta a múltiples productos de Hikvision fue añadida al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 5 de marzo de 2026.

Registrada globalmente bajo CVE-2017-7921, esta falla de seguridad representa un riesgo significativo para las organizaciones que dependen de estos populares sistemas de vigilancia.

El fallo permite a usuarios maliciosos eludir los controles de seguridad estándar, escalar privilegios y obtener acceso no autorizado a información altamente sensible sin necesidad de credenciales válidas.

Vulnerabilidad en múltiples productos de Hikvision

El problema central detrás de este exploit es una debilidad de autenticación inadecuada, formalmente categorizada como CWE-287.

En un sistema seguro, los protocolos de autenticación verifican la identidad de un usuario antes de conceder acceso a funciones específicas. Sin embargo, esta vulnerabilidad permite a los atacantes eludir por completo los procedimientos de inicio de sesión.

Al enviar solicitudes especialmente diseñadas al dispositivo Hikvision objetivo, los usuarios no autorizados pueden interactuar con el sistema como si fueran administradores completamente autenticados.

Aunque actualmente se desconoce si los operadores de ransomware están aprovechando esta falla específica en sus campañas, los dispositivos de Internet de las Cosas (IoT) sin parchear son blancos frecuentes para los brokers de acceso inicial.

Una vez que los atacantes logran elevar sus privilegios, el potencial de daño operativo aumenta significativamente.

Pueden ver transmisiones en vivo de vigilancia, descargar grabaciones de seguridad archivadas y extraer archivos de configuración sensibles que contienen contraseñas de red.

Dado que las cámaras de seguridad física suelen estar conectadas directamente a las redes corporativas, los dispositivos Hikvision comprometidos pueden servir como un punto de entrada silencioso para intrusiones más profundas en la red.

Los atacantes pueden usar las cámaras secuestradas para monitorear movimientos internos en las instalaciones o moverse lateralmente para atacar servidores críticos y estaciones de trabajo de empleados.

Medidas de mitigación

Ante la gravedad del acceso no autorizado a la red, los defensores de la red deben actuar con rapidez.

La CISA ha establecido un plazo firme hasta el 26 de marzo de 2026 para que las organizaciones protejan sus entornos contra esta amenaza activa.

Para cumplir con los requisitos de cumplimiento federal, las agencias deben abordar esta falla bajo la Directiva Operativa Vinculante (BOD) 22-01, asegurando la configuración de sus servicios en la nube y dispositivos de red física.

Se recomienda encarecidamente a las empresas del sector privado adoptar este mismo plazo agresivo para prevenir brechas de datos físicos y digitales.

Los administradores deben auditar inmediatamente sus redes para identificar cualquier hardware Hikvision activo, incluyendo cámaras IP y grabadores de video en red.

La estrategia de defensa principal requiere aplicar todas las mitigaciones y actualizaciones de firmware exactamente como se indica en las instrucciones oficiales del proveedor.

En escenarios donde los dispositivos son demasiado antiguos para recibir actualizaciones o no hay mitigaciones oficiales disponibles, los equipos de seguridad deben suspender de inmediato el uso del producto afectado para proteger el resto de la red.