CISA-advisering: OS-commandinjectie-kwetsbaarheid in ZoneMinder (CVE-2026-76060)

CISA heeft op 25 augustus 2026 een cybersecurityadvies uitgebracht over een kwetsbaarheid met hoge ernst (CVE-2026-76060) in ZoneMinder, een open-source videobewakingssoftware. De kwetsbaarheid is een geauthenticeerde OS-commandinjectie in de functionaliteit voor het exporteren van gebeurtenissen, waarbij de HTTP-parameter 'exportFile' ongezuiverd wordt doorgegeven aan een shell-opdracht die wordt uitgevoerd via PHP's exec(). Een geauthenticeerde gebruiker met de machtiging 'Gebeurtenissen bekijken' kan willekeurige opdrachten op het besturingssysteem op de server uitvoeren, wat mogelijk kan leiden tot volledige externe code-uitvoering als de webservergebruiker. Getroffen versies zijn ZoneMinder 1.37.48 en 1.38.3. De CVSS-basescore is 8.8 (Hoog) onder CVSS v3.1 en 8.7 onder v4.0. CISA ontdekte een openbaar proof-of-concept van 'Scriptkittens' en meldde dit aan ZoneMinder. De leverancier raadt aan om te upgraden naar versie 1.38.3 of later. Er is op dit moment geen bekende openbare exploitatie aan CISA gemeld. CISA adviseert gebruikers om de netwerkblootstelling te minimaliseren, firewalls te gebruiken en leverancierspatches toe te passen.