Ce qu’il faut retenir
Le 10 juin 2026, Dahua a publié l’avis DHCC-SA-202606-001, qui corrige trois failles dans certains de ses produits. La plus importante, CVE-2026-29116 (8.7 sur 10, échelle CVSS 4.0), permet à un attaquant distant, sans identifiant, d’envoyer un message réseau spécialement conçu qui fait redémarrer l’appareil : c’est un déni de service. Elle concerne une partie des caméras IP (IPC) et des caméras dômes (SD), des enregistreurs NVR et XVR, ainsi que d’autres gammes, dans les versions construites avant le 26 mars 2026. Les deux autres failles sont moins graves : même effet mais avec un compte authentifié (6.9), et exposition du certificat racine de l’appareil (2.3). Un correctif est disponible.
Qui est concerné ?
| Produits (CVE-2026-29116) | Une partie des caméras IPC et SD, des enregistreurs NVR et XVR, et des gammes EVS, VTO, VTH, ASI et TPC |
| Versions concernées | Appareils dont la date de construction du logiciel est antérieure au 26 mars 2026 (pour CVE-2026-29115 et CVE-2026-29116) ou au 15 avril 2026 (pour CVE-2026-29114) |
| Comment vérifier | Dans l’interface web de l’appareil : Réglages, Informations système, Informations de version (date de construction) |
| Liste des modèles | La liste exacte des modèles concernés est publiée par Dahua : lien « Affected Models » dans l’avis officiel |
| Source | Avis officiel Dahua DHCC-SA-202606-001 |
Quel est le risque concret ?
Un attaquant qui peut joindre une caméra ou un enregistreur sur le réseau peut le faire redémarrer, et recommencer. Pendant ce temps, l’appareil n’enregistre ni ne diffuse la vidéo : c’est un moyen simple de neutraliser une surveillance. L’avis ne mentionne ni prise de contrôle de l’appareil, ni vol de vidéo, ni exploitation de ces failles dans des attaques.
Priorité de traitement
Justification : la faille rend la vidéosurveillance indisponible sans mot de passe, mais elle ne permet pas de prendre le contrôle de l’appareil ; un correctif existe et l’avis ne signale aucune exploitation.
Que faut-il faire ?
- Relever, pour chaque caméra et enregistreur Dahua, la date de construction du logiciel (interface web de l’appareil, Réglages, Informations système).
- Comparer avec les dates de l’avis (26 mars et 15 avril 2026) et avec la liste des modèles concernés publiée par Dahua.
- Mettre à jour les appareils concernés : par mise à jour en ligne (cloud) si l’appareil la propose, sinon avec le logiciel téléchargé depuis le centre de téléchargement Dahua ou fourni par le support technique Dahua de votre pays.
- Vérifier que les caméras et enregistreurs ne sont pas accessibles depuis Internet : n’autoriser l’accès à distance que par VPN.
- Placer la vidéosurveillance sur un réseau dédié, séparé des postes de travail.
Recommandation Chrysalead
Nous recommandons d’intégrer ces mises à jour à votre prochaine intervention de maintenance sur la vidéosurveillance, en commençant par les appareils accessibles depuis l’extérieur. Si vous n’avez pas la liste de vos appareils Dahua et de leurs versions, contactez-nous : nous pouvons faire l’inventaire et appliquer les correctifs.
Détails techniques : les trois failles
| CVE | CVSS 4.0 | Appareils concernés | Impact (selon Dahua) |
|---|---|---|---|
| CVE-2026-29116 | 8.7 | IPC, SD, NVR, XVR, EVS, VTO, VTH, ASI, TPC (versions avant le 26/03/2026) | Attaquant distant sans authentification : un paquet spécialement conçu provoque une exception et un redémarrage inattendu (déni de service) |
| CVE-2026-29115 | 6.9 | IPC, SD (versions avant le 26/03/2026) | Attaquant distant authentifié : même effet de redémarrage inattendu |
| CVE-2026-29114 | 2.3 | Une partie des IPC (versions avant le 15/04/2026) | Récupération du certificat racine de l’appareil : si ce certificat est installé et approuvé par des postes, un attaquant pourrait émettre de faux certificats |
Dahua utilise l’échelle CVSS 4.0, dont les scores ne sont pas directement comparables à ceux de l’échelle 3.1 utilisée dans d’autres alertes. Un avis plus ancien (mars 2026, CVE-2025-31703) concerne un accès physique à certains NVR et XVR et est noté 2.4 : il ne justifie pas d’action urgente.
Articles et services associés
- Déni de service
- Le service ou l’appareil devient indisponible, ici parce qu’il redémarre en boucle.
- IPC / SD
- Caméras IP fixes (IPC) et caméras dômes motorisées (SD).
- NVR / XVR
- Enregistreurs vidéo qui stockent les images des caméras sur le réseau (NVR) ou sur câble coaxial (XVR).
- Sans authentification
- L’attaquant n’a besoin ni de compte ni de mot de passe pour tenter d’exploiter la faille.
- CVE
- Identifiant public attribué à une vulnérabilité connue.
Cette alerte est une synthèse éditoriale rédigée par Chrysalead IT Services à partir de l’avis officiel de Dahua (consulté le 12/11/2026). Les informations peuvent évoluer : vérifiez toujours la source officielle avant toute intervention sur vos équipements.