CVE-2026-29116: Denial-of-Service-Schwachstelle in Dahua-Produkten (CVSS 8.7)
Am 10. Juni 2026 hat der Hersteller Dahua Technology eine Schwachstelle in zahlreichen seiner Produkte offengelegt, die unter der Kennung CVE-2026-29116 geführt wird. Mit einem CVSS 4.0 Score von 8.7 wird sie als hoch (High) eingestuft. Die Lücke ermöglicht es einem unauthentifizierten Angreifer, durch das Senden eines speziell präparierten Netzwerkpakets einen unerwarteten Neustart des Zielsystems auszulösen und somit einen Denial-of-Service-Zustand (DoS) herbeizuführen.
Technische Details und Angriffsvektor
Laut dem Sicherheitshinweis von Dahua (DHCC-SA-202606-001) kann die Schwachstelle ohne jegliche Authentifizierung oder Benutzerinteraktion aus der Ferne ausgenutzt werden. Ein Angreifer muss lediglich Netzwerkzugriff auf ein verwundbares Gerät haben. Das manipulierte Paket verursacht eine Ausnahme in der Geräte-Firmware, die zu einem sofortigen Neustart führt. Wiederholte Angriffe können die Verfügbarkeit des Geräts dauerhaft beeinträchtigen.
Der CVSS-Vektor CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N bestätigt dies:
AV:N (Attack Vector: Network): Der Angriff erfolgt über das Netzwerk.
PR:N (Privileges Required: None): Es sind keine Zugangsdaten oder Berechtigungen erforderlich.
VA:H (Vulnerable System Availability: High): Die Auswirkung auf die Verfügbarkeit des Systems ist hoch.
Vertraulichkeit und Integrität der Daten sind laut dieser Bewertung nicht betroffen. Die primäre Informationsquelle ist derzeit das Advisory des Herstellers, da der Eintrag in der National Vulnerability Database (NVD) zum Zeitpunkt der Analyse noch nicht mit weiterführenden Details angereichert war.
Betroffene Systeme und operative Risiken
Die Schwachstelle betrifft eine breite Palette von IoT- und OT-Systemen, die in physischen Sicherheitsinfrastrukturen weit verbreitet sind. Dazu gehören unter anderem:
IP-Kameras (IPC)
Netzwerk- und digitale Videorekorder (NVR, XVR)
Enterprise Video Storage (EVS)
Video-Türsprechanlagen (VTO/VTH)
Zutrittskontrollsysteme (ASI)
Thermalkameras (TPC)
Da der Hersteller bisher keine spezifischen Modellreihen oder Firmware-Versionen benannt hat, ist eine genaue Identifikation betroffener Geräte erschwert. Das operative Risiko ist erheblich: Ein DoS-Angriff auf Überwachungskameras kann tote Winkel in Sicherheitszonen erzeugen, während der Ausfall eines Zutrittskontrollsystems den physischen Zugang zu kritischen Bereichen blockieren kann.
CVE-2026-29116 ist nicht der erste sicherheitsrelevante Vorfall bei Dahua. Im Juli 2025 wurden kritische Schwachstellen (CVE-2025-31700 und CVE-2025-31701, CVSS 8.1) in Dahua-Kamera-Firmware öffentlich, die unauthentifizierten Angreifern Remote Code Execution ermöglichten. Im August 2024 warnte die US-Behörde CISA vor der aktiven Ausnutzung älterer Dahua-Authentifizierungslücken (CVE-2021-33044 und CVE-2021-33045, CVSS 9.8) in freier Wildbahn. Diese wiederkehrenden Vorfälle unterstreichen die Notwendigkeit eines kontinuierlichen Vendor Risk Managements für Technologiepartner mit Dahua-Produkten. Quellen: SecurityAffairs/Bitdefender (Juli 2025); SecurityWeek/CISA KEV (August 2024).
Handlungsempfehlungen für Betreiber
Unternehmen sollten sich auf die Reduzierung der Angriffsfläche konzentrieren und verfügbare Firmware-Updates zeitnah einspielen.
Sofortmaßnahmen:
1. Inventarisierung: Identifizieren Sie alle Dahua-Geräte in Ihrer Infrastruktur. 2. Expositionsanalyse: Prüfen Sie, welche dieser Geräte aus dem Internet erreichbar sind. 3. Netzwerksegmentierung: Isolieren Sie kritische Sicherheitssysteme in geschützten Netzwerksegmenten, um unautorisierten Zugriff zu verhindern. 4. Zugriffsbeschränkung: Blockieren Sie den Netzwerkzugriff auf die Administrationsdienste der Geräte aus nicht vertrauenswürdigen Netzen.
Mittelfristige Maßnahmen:
Update-Management: Installieren Sie die vom Hersteller bereitgestellten Firmware-Updates nach sorgfältiger Prüfung. Überwachen Sie das Dahua Cybersecurity Center (DHCC) weiterhin auf neue Sicherheitshinweise.
Sicherer Fernzugriff: Stellen Sie sicher, dass der Fernzugriff auf diese Systeme ausschließlich über gesicherte Verbindungen wie VPNs erfolgt.
Für Betreiber in der DACH-Region ist die Relevanz besonders hoch: Unternehmen und Behörden, die Dahua-Geräte in sicherheitsrelevanten Bereichen einsetzen, können unter die NIS-2-Richtlinie fallen, die für Betreiber kritischer Infrastrukturen verpflichtende Maßnahmen zur Netzwerksicherheit vorschreibt. Sollte ein DoS-Angriff zu einem Ausfall mit Auswirkungen auf personenbezogene Daten führen, greift zudem die 72-Stunden-Meldepflicht gemäß Art. 33 DSGVO. Das BSI empfiehlt grundsätzlich die konsequente Netzwerksegmentierung von IoT-Geräten und deren Isolation vom Unternehmensnetz.
Wie EASM und VRM das Risiko von IoT-Schwachstellen reduzieren
Die Herausforderung bei Geräten wie denen von Dahua liegt oft darin, dass sie als „Schatten-IT“ außerhalb der zentralen IT-Verwaltung existieren. Sie werden von Fachabteilungen oder Dienstleistern installiert und sind oft unzureichend dokumentiert und gesichert – und damit für das Sicherheitsteam schlicht unsichtbar.
Ein External Attack Surface Management (EASM) wie LocateRisk adressiert dieses Problem, indem es kontinuierlich die externe, mit dem Internet verbundene Infrastruktur eines Unternehmens scannt. So werden auch unbekannte oder vergessene Assets wie Kameras, Videorekorder oder Zutrittskontrollsysteme identifiziert und in ein lückenloses Asset-Inventar überführt. Exponierte Administrationsdienste, offene Ports und Konfigurationsdrift werden sichtbar, bevor Angreifer sie ausnutzen können – unabhängig davon, ob ein Gerät von der zentralen IT erfasst wurde oder nicht.
Ergänzend dazu ermöglicht ein kontinuierliches Vendor Risk Management (VRM) die Bewertung der Sicherheitslage von Lieferanten und Technologiepartnern. Angesichts der wiederholten Sicherheitsvorfälle bei Dahua ist ein strukturiertes Monitoring der Vendor-Sicherheitslage ein wichtiger Baustein, um das eigene Risikoprofil realistisch einzuschätzen. LocateRisk ist eine „Made in Germany“-Lösung, die in europäischen Rechenzentren gehostet wird und Unternehmen dabei unterstützt, DSGVO-Anforderungen zu erfüllen sowie das Risiko durch nicht-europäische Datenzugriffe zu reduzieren.
SecurityAffairs: Dahua Camera flaws (CVE-2025-31700/-31701), Juli 2025: securityaffairs.com
SecurityWeek: CISA warnt vor aktiv ausgenutzten Dahua-Schwachstellen (CVE-2021-33044/-33045), August 2024: securityweek.com
Kennen Sie Ihre externe Angriffsfläche?
Eine kontinuierliche Überwachung Ihrer externen IT-Systeme ist entscheidend, um exponierte Geräte und damit verbundene Schwachstellen frühzeitig zu erkennen. LocateRisk bietet eine umfassende Analyse Ihrer Angriffsfläche.
CVE-2026-29116 ist eine Schwachstelle in verschiedenen Produkten von Dahua Technology, die am 10. Juni 2026 vom Hersteller offengelegt wurde. Sie erhält einen CVSS 4.0 Score von 8.7 (High) und ermöglicht es einem unauthentifizierten Angreifer aus der Ferne, durch das Senden eines speziell präparierten Netzwerkpakets einen unerwarteten Neustart des Zielsystems auszulösen und damit einen Denial-of-Service-Zustand herbeizuführen.
Laut dem Hersteller-Advisory (DHCC-SA-202606-001) sind mehrere Produktkategorien betroffen, darunter IP-Kameras, Netzwerk- und Digitalvideorekorder (NVR, XVR), Enterprise Video Storage, Video-Türsprechanlagen, Zutrittskontrollsysteme und Thermalkameras. Spezifische Modellreihen oder betroffene Firmware-Versionen hat Dahua zum Zeitpunkt der Veröffentlichung noch nicht benannt.
Als wichtigste Sofortmaßnahme empfiehlt sich die Netzwerksegmentierung: Dahua-Geräte sollten in isolierten Netzwerksegmenten betrieben und nicht direkt aus dem Internet erreichbar sein. Fernzugriff sollte ausschließlich über gesicherte VPN-Verbindungen erfolgen. Darüber hinaus sollten Betreiber das Dahua Cybersecurity Center (DHCC) aktiv auf neue Firmware-Updates überwachen.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2024-3094
Passive Bewertung
Hinweise zur CVEHinweise gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français