CVE-2026-40624: Câmeras AVer PTC500S, PTC115, PTC500+ e PTC115+: execução remota de código sem autenticação
A CVE-2026-40624 é uma falha de validação inadequada de entrada nas câmeras AVer PTC500S, PTC115, PTC500+ e PTC115+. Ela pode permitir que um atacante remoto e não autenticado execute código arbitrário por meio de uma requisição web especialmente criada, com pontuação crítica de 9.8 no CVSS 3.1. Não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-40624 afeta as câmeras AVer PTC500S, PTC115, PTC500+ e PTC115+. Segundo o registro CVE, uma validação inadequada de entrada nesses dispositivos pode permitir que um atacante remoto e não autenticado obtenha execução arbitrária de código por meio de uma requisição web especialmente criada. A vulnerabilidade foi coordenada pela equipe de ICS da CISA (CNA ics-cert@hq.dhs.gov) e está descrita no alerta ICSA-26-169-01. No NVD, o registro consta como Awaiting Analysis (aguardando análise).
Impacto
A CNA atribuiu pontuação base CVSS 3.1 de 9.8 (crítica), com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, além de pontuação CVSS 4.0 de 9.3. A falha pode ser explorada pela rede, sem privilégios nem interação do usuário, e pode comprometer totalmente a confidencialidade, a integridade e a disponibilidade da câmera. Um equipamento comprometido pode expor vídeo e áudio, servir de ponto de entrada na rede interna ou ficar inoperante.
Produtos e versões afetados
- AVer PTC500S
- AVer PTC115
- AVer PTC500+
- AVer PTC115+
O registro não informa versões específicas de firmware afetadas. Consulte o alerta da CISA ou o respectivo arquivo CSAF para detalhes de versão.
Status de exploração
A vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA, e não há exploração confirmada nas fontes consultadas. O registro não traz pontuação EPSS. Como o vetor é de rede e sem autenticação, o risco deve ser tratado como alto para qualquer dispositivo exposto.
Correção e mitigação
- Verifique o alerta ICSA-26-169-01 da CISA para orientações do fabricante e eventuais atualizações de firmware; o registro não cita versão corrigida, o que não significa que não exista correção.
- Garanta que a interface web das câmeras não esteja acessível pela internet.
- Coloque as câmeras em segmentos de rede isolados, atrás de firewalls, limitando o acesso de gerenciamento a hosts confiáveis.
- Quando o acesso remoto for necessário, use métodos seguros, como VPN atualizada.
Orientações de detecção
- Faça o inventário de todas as câmeras AVer da linha PTC e confirme sua exposição na rede.
- Monitore o tráfego web destinado às câmeras em busca de requisições incomuns ou malformadas, sobretudo de origens inesperadas.
- Observe conexões de saída inesperadas, alterações de configuração ou reinicializações partindo dos dispositivos.
Limitações das informações disponíveis
- O registro não inclui versões de firmware afetadas nem corrigidas.
- A CWE atribuída (CWE-552, arquivos ou diretórios acessíveis a partes externas) não corresponde claramente à descrição de validação inadequada de entrada; a causa raiz, portanto, não está clara.
- O NVD ainda não concluiu sua análise, e não há dados de EPSS ou SSVC.
Perguntas frequentes
Quais câmeras AVer são afetadas pela CVE-2026-40624?
Os modelos PTC500S, PTC115, PTC500+ e PTC115+. O registro não especifica as versões de firmware afetadas.
A CVE-2026-40624 está sendo explorada?
Ela não está no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Qual a gravidade?
A CNA atribuiu 9.8 (crítica) no CVSS 3.1 e 9.3 no CVSS 4.0, pois a falha permite execução remota de código sem autenticação.
O que fazer agora?
Siga o alerta ICSA-26-169-01 da CISA para atualizações do fabricante, elimine a exposição das câmeras à internet e segmente-as de redes críticas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.