Агентство з кібербезпеки та інфраструктури США випустило офіційний бюлетень безпеки ICSA-26-139-04, у якому детально описано критичну архітектурну проблему в камерах відеоспостереження відомого китайського виробника ZKTeco. Уразливість отримала офіційний ідентифікатор CVE-2026-8598. Згідно з технічним документом, дефект безпеки безпосередньо впливає на пристрої, що працюють під управлінням прошивки серії SSC335-GC2063-Face-0b77 Solution всіх версій до оновлення V5.0.1 включно. На момент публікації урядового звіту CISA не має підтверджених даних про активне використання цієї вразливості зловмисниками у реальних кібератаках, проте загроза класифікована як висока через простоту її технічної реалізації.

У ході проведення аналізу програмного коду пристроїв інженери виявили вразливість типу Information Disclosure, викликану наявністю прихованого, незадокументованого мережевого порту, який виробник залишив для експорту конфігурацій. Цей порт залишається повністю відкритим для зовнішніх запитів і не вимагає проходження будь-якої автентифікації. Будь-який віддалений користувач, надіславши простий мережевий запит на цей порт через інтернет або локальну мережу, може змусити камеру вивантажити повний архів конфігураційних файлів. Наслідком цієї вразливості є прямий витік критичних технічних даних: у текстових логах без шифрування містяться списки всіх активних мережевих служб пристрою, а також адміністративні логіни та паролі від облікових записів камери, що дозволяє зловмисникам повністю перехопити відеопотік і керування системою фізичної безпеки об’єкта.