Dahua kamera: nyitott port nélkül is támadható a P2P-elérésen át

Egy kamera vagy rögzítő biztonságát sokan azzal intézik el, hogy nincs kinyitva az internet felé, tehát kívülről nem érhető el. Az ukrán nemzeti kibervédelmi csapat, a CERT-UA 2026. október 23-án arra figyelmeztetett, hogy ez kevés. Ha a P2P-funkció be van kapcsolva, a közvetlen internetes elérés hiánya nem garantálja a Dahua eszközök védettségét.

A cikk alapja a CERT-UA közleménye és a Hunt.io két jelentése. A Dahua biztonsági közleményére, az NVD és a CISA adataira, valamint az NBSZ Nemzeti Kiberbiztonsági Intézet (NKI) oldalaira is támaszkodik. A CERT-UA közlemény kivételével mindet 2026. október 27-én olvastam el. Az NVD, a Dahua, a Hunt.io és az NKI oldalait 2026. október 29-én újra megnéztem. A közlemény eredeti oldala (cip.gov.ua) nálam nem nyílt meg, letöltéskor hozzáférést tiltó oldalt adott. Az archivált változatban sem jelent meg a szöveg. A közlemény dátumát (2026. október 23.) ezért másodlagos forrásokból veszem. A szöveget két ukrán hírportál, az IT Week és a Komp'yuternoe Obozrenie 2026. október 26-i átvételéből olvastam. Lehet, hogy az átvételek nem szó szerint teljesek, ezért a CERT-UA-ra hivatkozó mondatok ezekre épülnek, az eredetivel nem vetettem össze. Kamerát nem teszteltem, eszközön semmit nem futtattam.

Mit állít a CERT-UA

A közlemény szerint IP-kamerák és rögzítők kerültek idegen kézbe. A támadók hozzáfértek a videóhoz, módosították a beállításokat, és idegen fiókokat hoztak létre. Áldozatszámot, időpontot vagy elkövetőt a szöveg nem közöl.

A fő útvonal a P2P/felhős elérés, az Easy4IP. Az eszköz maga épít kimenő kapcsolatot a gyártó felhőjéhez, és a sorozatszámával regisztrál. A hozzáférés ezután a felhőn át megy. A hálózati címfordítás és a tűzfal nem állja útját, nyitott port és fix IP-cím sem kell hozzá.

A sorozatszámoknak kiszámítható a szerkezetük, a CERT-UA szerint a támadók valószínűleg tömeges végigpróbálással szerzik meg őket. Ezért a közlemény szerint minden P2P-vel működő eszköz veszélyben van, és a „senki sem ismeri a sorozatszámot” feltevés nem védelem. Hogy ez a gyakorlatban mit jelent, azt a Hunt.io CameraSwarm-jelentése mutatja. Az ott leírt eszköz tíz karakteres előtagokhoz ötjegyű hexadecimális utótagot próbált végig, előtagonként 1 048 576 jelöltet.

A bejelentkezést hogyan kerülik meg

A felhő csak az utat adja, a belépést a támadónak külön kell megoldania. A CERT-UA szerint ez gyenge vagy tipikus jelszó kitalálásával megy, vagy régi firmware hibáján át, ahol jelszó sem kell. A közlemény két azonosítót nevez meg: CVE-2021-33044 és CVE-2021-33045.

Mindkettő hitelesítést megkerülő hiba. Az NVD mindkettőre 9,8-as kritikus alappontot ad (CVSS 3.1; 33044, 33045). A Dahua 2021. szeptember 1-jei, 2021. november 15-én frissített közleménye 8,1-et ad (CVSS 3), mert a támadás bonyolultságát magasabbra teszi. A CISA mindkettőt 2024. augusztus 21-én vette fel az ismert, aktívan kihasznált hibák jegyzékébe (33044, 33045). A Dahua közleménye (DHCC-SA-202106-001) modellsoronként megadja az érintett firmware építési idejét: 2019 decembere, 2020 májusa, illetve 2021 júniusa. A javított verziót is közli.

A Hunt.io 2026. augusztus 18-i CameraSwarm-jelentése szerint egy üzemeltető 2026 nyarán, 35 nap alatt 14 530-nál több Dahua-eszközt vett át. Ehhez három utat használt. Jelszó-próbálgatással 12 324 IP-címet ért el, a két 2021-es hibával 1923 kamerát. A Dahua felhőrelén át pedig 283 kamerát ért el a sorozatszám alapján, a legtöbbször jelszó nélkül. Az utolsó áll a legközelebb ahhoz, amit a CERT-UA leír. A megerősített, földrajzilag azonosított esetek főleg Ukrajnában és Oroszországban voltak. A 2026. június 18-i legnagyobb egyszeri találatcsomag viszont mexikói és vietnami szolgáltatók címtartományába esett. A kamerák közül 1923-ban maradandó hátsó fiókot találtak, amely jelszócserét és a legtöbb firmware-en gyári visszaállítást is túlél. A CERT-UA közleménye nem hivatkozik erre a jelentésre, így az összefüggés nem bizonyított. A Hunt.io 2026. október 26-án a The Recordnak azt mondta, hogy a módszerek nagymértékben egyeznek. Arra viszont nincs bizonyíték, hogy ugyanazok az elkövetők állnak mögöttük.

Mi igazolható a magyar vonatkozásból

A Hunt.io 2026. augusztus 10-i jelentése két, külön üzemeltetett szervert ír le. Az első (89.208.97[.]165) parancselőzménye szinte teljesen orosz nyelvű volt, a kutatók szerint az üzemeltető valószínűleg orosz anyanyelvű. A második szerveren (213.165.63[.]49) is orosz nyelvű volt a fájlok többsége. Ezen a szerveren egy szkript TP-Link- és Asus-routerekre kérdezett rá 15 európai országban. Az országok között ott van Magyarország. Ez routerkeresés volt, a Hunt.io nem kapcsolja a Dahua P2P-hez. A kutatók szerint az országlistán túl nincs további említés. A második szerveren a kamerákat betöltő lista csak ukrán IP-címeket tartalmazott. A két szervert a Hunt.io szerint csak egy közös, nyílt forráskódú szkenner köti össze. Magyar áldozatot a CERT-UA és a Hunt.io sem említ.

A CameraSwarm-jelentés szerint az üzemeltető a teljes IPv4-tartományt is végigpásztázta a Dahua-kamerák 37777-es portján. Ebből az következik, hogy a magyar címek is a pásztázás hatókörébe eshettek. Ez az én olvasatom, a jelentés magyar adatot nem közöl.

Hazai hatósági oldalról négy dolgot találtam. Az NKI 2022-ben figyelmeztetést adott ki Dahua IP-kamerák egy másik hibájáról (CVE-2022-30563). Azt írta, hogy ezek a kamerák hazai kereskedelmi forgalomban is kaphatók. A két 2021-es hibát az NKI sérülékenységi adatlapja (CVE-2021-33044, CVE-2021-33045) is ismerten kihasználtként jelöli, 2024. augusztus 21-től. 2026. július 22-én az NKI általános figyelmeztetést közölt az interneten elérhető IP-kamerák elleni kémkedésről. A Censys felmérésére hivatkozva 18 235 magyarországi IP-kamerát említ. Ezek közül 933 olyan kiszolgálón működött, ahol ismert, kihasználható sérülékenység volt. Ez a közlemény nem Dahua-specifikus, és nem a P2P-ről szól. Végül az NKI 2026. október 27-én hírben ismertette a CERT-UA figyelmeztetését és a két 2021-es hibát. Forrásként a The Recordot adja meg. Magyar érintettről ez a hír sem ír.

A Dahua magyarországi elterjedtségére számot nem találtam, ezért nem állítok ilyet.

Egy gyakorlati megjegyzés. Az üzemeltető célpontlistája szerint az Amcrest, a Lorex, az Annke és a Swann kamerák is a Dahua felhőjén futnak. Ezeket a gyártók a saját márkanevükön árulják. A Dahuával ezt nem egyeztettem. A márkanév tehát nem biztos, hogy elárulja, mi van a burkolatban.

Ellenőrzőlista a kamerát használó cégeknek

1. Leltár. Írják össze a kamerákat és rögzítőket, a típust, a firmware-verziót és azt, hogy be van-e kapcsolva a P2P. Aki nem tudja, hány eszköze van, nem tudja megvédeni őket.
2. P2P kikapcsolása, ha nem kell. A CERT-UA ezt az első teendőként adja meg. Az újabb felületű rögzítőknél a Dahua DACH-útmutatója szerint a P2P a Management, Network, TCP/IP útvonalon, a P2P fülön kapcsolható. A Hunt.io a Settings, Network menüt említi. A kikapcsolást feltehetően ugyanott lehet elvégezni. Élő eszközön nem ellenőriztem, a menü felülettől és firmware-től függ.
3. Távoli elérés VPN-nel. A CERT-UA szerint kamerát ne tegyenek ki az internetre, távolról VPN-en, csak engedélyezett IP-címekről érjék el. A Hunt.io szerint a 37777-es port kívülről ne legyen elérhető.
4. Fiókok átnézése. Keressenek ismeretlen felhasználót, és válasszák le az ismeretlen, hozzákötött felhős fiókokat is, ahogy a CERT-UA kéri. A Hunt.io javaslata: a p2pwn nevű fiókot keressék meg és töröljék. A Hunt.io szerint a fiók törlése önmagában nem elég (The Record, 2026. október 26.; átvette az NKI 2026. október 27-én). A firmware-t is frissíteni kell, lásd a 6. pontot.
5. Jelszócsere. A Hunt.io szerint a gyári és gyenge jelszavakat egyedi, erősre kell cserélni. Az általa vizsgált esetekben a belépés elsősorban jelszó-kitalálással ment.
6. Firmware-frissítés kézzel, majd rendszeresen. A CERT-UA kézi frissítést és rendszeres frissítési folyamatot kér. A firmware építési idejét a Dahua szerint a webes felületen a Settings, System Information, Version Information oldalon lehet megnézni.
7. Naplók. A CERT-UA szerint a 127.0.0.1 címről érkező, DVRIP-protokollos belépések P2P-hozzáférésre utalnak. A Hunt.io szerint a loopback típusú belépési kérés legitim Dahua-kliensnél nem fordul elő.
8. Hálózati elkülönítés. A kamerák külön hálózaton (VLAN) legyenek, ne lássák az irodai gépeket. A Hunt.io is VPN-t vagy elkülönített VLAN-t ajánl. Az elv rokon az IT/OT cikkünkével: az évekig működő, külső cég által telepített eszköz kerüljön külön szegmensbe.
9. Gyanú esetén jelentés. Hazai csatorna az NBSZ Nemzeti Kiberbiztonsági Intézet incidensbejelentője (incidens.nki.gov.hu, e-mailben csirt@nki.gov.hu). Az NKI szerint bárki jelezhet incidenst és sérülékenységet, anonim bejelentés is lehetséges. Ha a kamera személyeket mutat, és illetéktelen hozzáférés történt, adatvédelmi incidens is lehet. Ilyenkor az adatkezelőnek a NAIH szerint indokolatlan késedelem nélkül, ha lehet, 72 órán belül jelentenie kell a NAIH-nak. Kivétel, ha az incidens valószínűleg nem jár kockázattal az érintettekre nézve. Hogy a konkrét eset incidens-e, azt jogász vagy adatvédelmi tisztviselő döntse el. A NIS2-es vagy kiberbiztonsági törvény hatálya alá tartozó szervezeteknél külön bejelentési szabályok lehetnek, ezeket a cikk nem tárgyalja.

Ellenőrzőlista a telepítő cégeknek

1. Ügyfélenkénti kimutatás. Melyik telepítésben van P2P, melyik felhős fiókhoz kötve, ki a fiók tulajdonosa.
2. Átadáskor ne maradjon gyári jelszó, és legyen leírva, ki férhet távolról az eszközhöz.
3. Frissítési ütemterv. A CERT-UA szerint a rendszeres frissítés folyamat legyen, nem eseti munka.
4. P2P-t csak kérésre, és úgy, hogy az ügyfél tudja, mit vállal vele.
5. Gyanú esetén segítsenek az ügyfélnek a bejelentésben, a hazai csatornákat a cégeknek szóló lista 9. pontja sorolja fel. A CERT-UA a saját címére kéri a jelentést, de az az ukrán esetekre szól.

Az ördög ügyvédje

A P2P kényelmes, főleg ott, ahol nincs fix IP-cím, és a VPN felállításához nincs szakember. A kikapcsolás ára a bonyolultabb távoli elérés. A CERT-UA közleménye nem közöl számot, az egész támadási útvonalat nem látjuk. A 89,4 százalék az üzemeltető saját kódjának megjegyzése, nem független mérés. Eszerint az élő sorozatszámok ennyije adott hitelesítés nélküli, nyitott csatornát. A más gyártók hasonló felhős szolgáltatásait nem vizsgáltam.

A kockázat firmware-től is függhet. A magyar Dahua-oldal szerint a gyártó a régi P2P-szerverét 2024. október 23-án leállította. A régi mobilappok és a SmartPSS támogatása megszűnt. Egy spanyol incidenskezelő cég 2025. október 15-i elemzése a firmware-ről is ír. Eszerint egyes eszköztípusoknál a 2024 közepe előtti firmware-eken jelszóellenőrzés nélkül is létrejöhetett a P2P-alagút. Az újabbakon a javítás már jelszót kényszerít ki. Ez a javítás viszont az eszközön van, ezért csak a ténylegesen frissített eszközön működik. Ez egyetlen forrás, más forrás 2026. október 29-ig nem erősítette meg, a CERT-UA pedig nem írja le, mely firmware-eket érinti. Az újabb firmware tehát csökkentheti a kockázatot, de ezt nem tudom igazolni.

Gyakori kérdések

Mi az Easy4IP, és mi a P2P-elérés? A Dahua felhős távoli elérése. Az eszköz kimenő kapcsolattal regisztrál a gyártó felhőjében a sorozatszámával, a hozzáférés a felhőn át megy, nyitott port nélkül.

Ha nincs nyitott portom, biztonságban vagyok? A CERT-UA szerint nem, ha a P2P be van kapcsolva. Maga a bejelentkezés viszont továbbra is jelszót vagy firmware-hibát igényel.

Érinti ez a magyar cégeket? Magyar áldozatot a források nem említenek. Az NKI szerint a Dahua IP-kamerák hazai forgalomban is kaphatók, a Hunt.io országlistája pedig tartalmazza Magyarországot egy routerkereső szkriptben. Kamerás támadást magyar címen a Hunt.io nem közöl.

Honnan tudom, hogy régi-e a firmware? A Dahua szerint a webes felületen a verzióoldalon látszik az építési idő. Ezt vesse össze a Dahua közleményének táblázatával.

Elég a jelszócsere? Nem mindig. A Hunt.io szerint a p2pwn hátsó fiók túléli a jelszócserét. Ha ilyet talál, kérjen szakembert.

Hová jelenthetem, ha gyanús a kamerám? Az NBSZ Nemzeti Kiberbiztonsági Intézet incidensbejelentőjébe bárki bejelenthet, anonim is. Ha a felvételeken személyek látszanak, a NAIH tájékoztatója szerint adatvédelmi incidens esetén az adatkezelő 72 órán belül jelent, ha lehet.

Ez a cikk általános tájékoztatás, nem minősül jogi vagy informatikai biztonsági tanácsadásnak.

AI-közreműködés: AI-asszisztált. A cikk megírásában mesterséges intelligencia közreműködött. A tartalomért a Loop szerkesztősége felel. (2026)