CVE-2026-87827 : KGUARD DVR RCE sans auth, botnets Mirai

Les faits

CVE-2026-87827 est une vulnérabilité critique (CVSS 10.0) affectant les enregistreurs vidéo numériques (DVR) fabriqués par KGUARD Security. La faille, classifiée sous CWE-1188 (Initialisation non sécurisée par défaut d'une ressource), résulte d'une décision de conception profondément problématique dans le firmware : un service réseau d'exécution de commandes système est démarré et lié à l'interface 0.0.0.0, c'est-à-dire exposé sur la totalité des interfaces réseau disponibles — LAN, WAN, Wi-Fi — sans qu'aucune couche d'authentification ne soit requise pour interagir avec lui.

D'après les analyses publiées par exploit-intel.com et la communauté de développeurs DEV Community, le service vulnérable accepte des commandes réseau et les transmet directement à un interpréteur système (shell), ce qui constitue un cas d'école de Remote Code Execution (RCE) sans authentification. Le vecteur d'attaque est purement réseau, avec une complexité d'attaque faible, aucun privilège requis et aucune interaction de l'utilisateur nécessaire — soit les conditions les plus favorables pour un attaquant. L'impact est total : confidentialité, intégrité et disponibilité du système sont toutes trois compromises, justifiant le score CVSS maximal de 10.0.

La chronologie de la vulnérabilité est notable : selon les recherches publiées sur cvebrief.com (édition du 10 septembre 2026) et dev.to, la faille est présente dans les firmwares KGUARD depuis 2016 au moins. Une correction partielle a été introduite à partir de 2017, restreignant le service à l'interface localhost (127.0.0.1) plutôt que de l'exposer sur toutes les interfaces. Cependant, d'innombrables DVR KGUARD déployés avant cette date — ou n'ayant jamais reçu de mise à jour firmware — restent vulnérables et accessibles depuis Internet.

Les modèles affectés couvrent une large gamme de la gamme KGUARD : D1004NR (4 canaux), D1008NR (8 canaux), D1016NR (16 canaux), D1104, D1104NR, D1108NR, D1116NR, D1132NR (jusqu'à 32 canaux), D2116NR, et les séries D97xx, D98xx, D99xx. Ces équipements sont principalement utilisés dans des environnements résidentiels, de petites et moyennes entreprises, des sites industriels légers et des installations commerciales à budget contraint — des environnements où les mises à jour firmware sont rarement appliquées de manière proactive.

L'exploitation de CVE-2026-87827 est confirmée in-the-wild par plusieurs botnets basés sur le code source de Mirai. Le botnet Mirai_ptea (également connu sous le nom Rimasuta) et le botnet Mirai_aurora utilisent cette vulnérabilité pour compromettre des DVR KGUARD vulnérables accessibles sur Internet, les enrôler dans leurs réseaux de zombies et les utiliser principalement pour mener des attaques par déni de service distribué (DDoS). D'après les recherches de threat intelligence publiées par radar.offseq.com, les campagnes d'exploitation ont été documentées dans plusieurs pays, ciblant toute instance DVR KGUARD exposée sur un port accessible depuis l'Internet public.

L'aspect botnet Mirai est particulièrement préoccupant pour les organisations hébergeant ces DVR. Contrairement à des attaques ciblées, les botnets Mirai effectuent des scans massifs et automatisés de l'Internet à la recherche d'équipements IoT vulnérables. Une fois compromis, le DVR est utilisé comme vecteur de DDoS, mais l'accès root obtenu peut également être exploité pour pivoter vers d'autres systèmes du même réseau local, espionner les flux vidéo de surveillance, exfiltrer des données ou servir de point d'ancrage pour des activités malveillantes plus sophistiquées.

L'absence d'un mécanisme de mise à jour automatique sur la majorité des DVR KGUARD affectés complique considérablement la remédiation. KGUARD Security n'a pas publié d'advisory de sécurité officiel centralisé, et les utilisateurs doivent rechercher manuellement les firmwares mis à jour sur le site du fabricant ou contacter leur revendeur. Pour les équipements dont le firmware ne peut plus être mis à jour (fin de vie), le remplacement physique est la seule option viable à long terme.

Sur le plan de la surface d'attaque globale, des scans Shodan révèlent régulièrement plusieurs milliers de DVR KGUARD avec des ports de service accessibles depuis l'Internet public. La combinaison d'un équipement IoT à longue durée de vie, d'un firmware rarement mis à jour et d'une exploitation active par des botnets automatisés fait de CVE-2026-87827 une menace durable pour la sécurité des infrastructures de vidéosurveillance.

Impact et exposition

Un DVR KGUARD compromis via CVE-2026-87827 offre à l'attaquant un accès root complet au système d'exploitation de l'équipement. Dans un contexte professionnel, cela implique l'accès aux flux vidéo en direct et aux enregistrements archivés — une violation directe de la vie privée et potentiellement des informations sensibles captées par les caméras (codes PIN saisis sur des claviers visibles, allées et venues des employés, zones sécurisées). L'équipement compromis peut également servir de vecteur de pivot vers le reste du réseau LAN si aucune segmentation réseau n'isole les DVR du réseau d'entreprise.

La menace DDoS est immédiate et concrète : les DVR KGUARD compromis enrôlés dans Mirai_aurora et Mirai_ptea contribuent à des attaques volumétriques pouvant atteindre plusieurs centaines de Gbps en agrégé. Bien que chaque DVR individuel ait une bande passante limitée, la multiplication par des milliers d'équipements compromis produit un trafic d'attaque significatif.

Les organisations ayant déployé des DVR KGUARD sur des réseaux partagés avec des systèmes de contrôle industriel (OT/ICS), des systèmes de badges d'accès, ou des infrastructures IT sensibles sont particulièrement exposées. La compromission d'un DVR sur ce type de réseau peut faciliter l'accès à des systèmes bien plus critiques via des techniques de mouvement latéral.

Recommandations immédiates

• Mettre à jour le firmware KGUARD vers une version postérieure à 2017 — consulter l'advisory KGUARD DSA correspondant à votre modèle ou contacter le support KGUARD Security directement
• Si la mise à jour n'est pas possible : isoler immédiatement les DVR sur un VLAN dédié sans accès à Internet et sans accès au réseau d'entreprise principal
• Bloquer tout accès entrant depuis Internet vers les ports de service des DVR au niveau du pare-feu périmétrique ; les DVR ne doivent jamais être exposés directement sur une adresse IP publique
• Auditer votre réseau via des outils de découverte d'actifs (nmap, Nessus, ou tout scanner réseau) pour identifier les DVR KGUARD présents et leur exposition réseau actuelle
• Indicateurs de compromission : pics inhabituels de trafic réseau sortant depuis les DVR, connexions vers des adresses IP non reconnues, augmentation anormale de l'utilisation CPU des équipements