CVE-2026-61515: RCE critico nelle fotocamere Puwell

Il CVE-2026-61515 è una vulnerabilità di command injection senza autenticazione rilevata nel firmware delle fotocamere IP Puwell versioni 2.x, 3.x e 4.x. La falla risiede nel servizio DebugShell esposto sulla porta TCP 34567, che accetta payload JSON senza verificare l'identità del mittente. Un attaccante remoto può sfruttare la mancanza di validazione dell'input per inviare comandi arbitrari direttamente al sistema operativo sottostante, ottenendo privilegi root e il compromesso completo del dispositivo camera.

Il CVSS score ufficiale è 9,8 (critico), riflettendo l'assenza di autenticazione e la possibilità di esecuzione di codice remoto con privilegi elevati. La vulnerabilità è stata pubblicata dal NVD il 4 agosto 2026. Un segnale significativo riguarda la scoperta recente (30 ottobre 2026) di repository pubblici su GitHub che dichiarano di contenere exploit per questa falla, indicando che la comunità di ricercatori ha sviluppato proof-of-concept verificabili.

Gli amministratori IT e CISO devono trattar questa vulnerabilità con urgenza massima. Azioni prioritarie: inventariare tutte le fotocamere Puwell in uso e verificare il firmware installato; isolare immediatamente i dispositivi non patchati dalla rete di produzione o confinare il traffico in segmenti dedicati; monitorare attivamente i tentativi di connessione non autorizzati sulla porta 34567; verificare le versioni corrette presso il vendor e applicare update non appena disponibili; revisionare i log di accesso per individuare potenziali sfruttamenti pregressi.