某物联网技术企业的网络摄像机产品近期被海外安全机构通报三项安全缺陷（通告编号 ICSA-26-288-02，2026-10-15），其中最严重的一项为固件内置硬编码凭据（CVE-2026-107617，CVSS 评分 9.8，属严重级别）：攻击者可利用固件中预置的固定口令直接登录设备，无需任何破解。另一项缺陷涉及对象属性修改管控不当（CVE-2026-97858），可令平台将设备从原所有者账号解绑、改绑至攻击者账号，相当于远程完成"设备过户"；第三项响应差异缺陷（CVE-2026-105664）则可被用于批量枚举平台上已注册的设备。

通报同时指出，该厂商未回应漏洞通报的协调流程，截至目前没有发布官方补丁。受影响的应用版本至 4.9.6、固件版本至 4.9.86.0，波及能源、通信、金融、政府、交通等多个行业 deployments。硬编码凭据一经写入固件并随设备出货，便无法通过远程升级彻底收回，通常只能停止支持或更换设备。

这起事件再次说明，设备"绑定在自己账号下"并不等于安全——绑定关系的权威在平台侧，一条内置口令加一条越权接口即可批量转移设备所有权。我国智能家电与通信模块相关国家标准（GB/T 40349-2021、GB/T 41789-2022）对此已有明确要求：密钥禁止明文与固定写入，须以设备唯一标识参与派生、不可导出。安全责任写在出厂状态里，而不是写在用户手册里。