Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-13312 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-10 |
| Producent | Axis Communications |
| Produkt | AXIS Camera Station Pro / AXIS Camera Station |
| Typ podatności | niewłaściwa walidacja określonego typu danych wejściowych (CWE-1287) |
| Podatne wersje | AXIS Camera Station Pro < 6.17, AXIS Camera Station < 5.59 SR 2 |
| CVSS Score | 9.9 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, Axis Communications
Podatność, która może pozwolić atakującemu na przejęcie systemu.
Według biuletynu bezpieczeństwa Axis („Security Advisory CVE-2026-13312”, wersja 1.0 z 10 listopada 2026 r.) luka występuje w AXIS Camera Station Pro w wersjach starszych niż 6.17 oraz w AXIS Camera Station w wersjach starszych niż 5.59 SR 2. Producent ocenił ją na CVSS v3.1 9.9 (krytyczna) i sklasyfikował jako CWE-1287 — niewłaściwą walidację określonego typu danych wejściowych.
Lukę zgłosił Ryan Vinton w ramach programu AXIS Camera Station Pro Bug Bounty Program. Axis nie podaje szczegółów technicznych — nie opisuje podatnego komponentu, wektora ataku ani warunków wykorzystania. Według wiedzy producenta nie istnieją publiczne exploity, a luka nie była wykorzystywana w atakach. NVD nie podaje konfiguracji CPE.
Wymagane działania
- Zaktualizuj AXIS Camera Station Pro do wersji 6.17, a AXIS Camera Station do wersji 5.59 SR 2 — obie zawierają poprawkę. Axis zaleca aktualizację do AXIS Camera Station 5 lub przejście na AXIS Camera Station Pro.
- Ogranicz dostęp sieciowy do serwera VMS: serwer AXIS Camera Station nie powinien być osiągalny z internetu, a dostęp do niego warto zawęzić do stacji operatorów i segmentu sieci z kamerami.
- Zinwentaryzuj instalacje AXIS Camera Station w organizacji — także w oddziałach, magazynach i systemach utrzymywanych przez integratorów zabezpieczeń technicznych — i sprawdź ich wersje.
Kogo dotyczy?
Podatność dotyczy AXIS Camera Station Pro (wersje < 6.17) i AXIS Camera Station (wersje < 5.59 SR 2) — oprogramowania VMS (Video Management System) firmy Axis Communications do zarządzania kamerami i nagraniami. Z systemów monitoringu wizyjnego Axis korzystają w Polsce m.in. zakłady produkcyjne, centra logistyczne, biura, sieci handlowe i instytucje publiczne. Systemy te często wdraża i utrzymuje zewnętrzny integrator, dlatego warto sprawdzić, kto odpowiada za aktualizacje serwera VMS.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-13312?
CVE-2026-13312 to krytyczna luka (CVSS 9.9) w oprogramowaniu do zarządzania monitoringiem wizyjnym AXIS Camera Station Pro i AXIS Camera Station, sklasyfikowana jako CWE-1287 (niewłaściwa walidacja określonego typu danych wejściowych). Według producenta może pozwolić atakującemu na przejęcie systemu.
Które wersje są podatne na CVE-2026-13312?
Podatne są AXIS Camera Station Pro w wersjach starszych niż 6.17 oraz AXIS Camera Station w wersjach starszych niż 5.59 SR 2. Poprawki zawierają AXIS Camera Station Pro 6.17 i AXIS Camera Station 5.59 SR 2.
Czy CVE-2026-13312 jest wykorzystywana w atakach?
Według wiedzy Axis w dniu publikacji biuletynu (10 listopada 2026 r.) nie istnieją publiczne exploity, a luka nie była wykorzystywana. Producent nie ujawnia szczegółów technicznych podatności.
Jak zabezpieczyć się przed CVE-2026-13312?
Należy zaktualizować AXIS Camera Station Pro do wersji 6.17, a AXIS Camera Station do wersji 5.59 SR 2. Do czasu aktualizacji warto ograniczyć dostęp sieciowy do serwera VMS wyłącznie do zaufanych stacji i segmentów sieci.
Kogo dotyczy CVE-2026-13312?
Dotyczy organizacji, które zarządzają monitoringiem wizyjnym opartym na kamerach Axis za pomocą AXIS Camera Station Pro lub AXIS Camera Station — m.in. zakładów produkcyjnych, magazynów, biur, placówek handlowych i instytucji publicznych.
