Eufy Omni C20，Omni X10 Pro | LLM 网络安全

CISA 发布紧急警告，Eufy Omni C20 和 X10 Pro 存在高危漏洞。
未修复版本允许攻击者执行任意代码或窃取凭证。

要点

升级固件至 v1.6.4 以修补命令注入与证书验证缺陷。
Omni C20 需立即更新，否则硬编码凭证可泄露日志数据。
Omni X10 Pro 仅受命令注入漏洞影响，同样需升级版本。

行动提示

检查设备固件版本，低于 1.6.4 请立即通过官方渠道更新。
将摄像头网络隔离，禁止直接暴露于互联网或公共 Wi-Fi。

查看 CSAF

摘要

成功利用这些漏洞可能允许攻击者运行系统级命令或执行任意代码。

以下版本的 Eufy Omni C20、Omni X10 Pro 受到影响：

Omni C20 <1.6.4 (CVE-2026-93289, CVE-2026-93290, CVE-2026-93291)
Omni X10 Pro <1.6.4 (CVE-2026-93289)

CVSS	供应商	设备	漏洞类型
v3 9.4	Eufy	Eufy Omni C20, Omni X10 Pro	操作系统命令特殊元素未正确中和 ('OS Command Injection')、硬编码凭据的使用、证书验证不当

背景

关键基础设施部门： 信息技术
部署国家/地区： 全球
公司总部所在地： 中国

漏洞详情

展开全部 +

CVE-2026-93289

受影响的产品易受命令注入攻击，允许未经身份验证的攻击者在配对过程中执行系统命令。

查看 CVE 详情

受影响产品

Eufy Omni C20, Omni X10 Pro

供应商：
Eufy

产品版本：
Eufy Omni C20: <1.6.4, Eufy Omni X10 Pro: <1.6.4

产品状态：
known_affected

指标

CVSS 版本	基础分数	基础严重性	向量字符串
3.1	7.5	HIGH	CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
4.0	9	CRITICAL	CVSS:4.0/AV:A/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

CVE-2026-93290

Omni C20 使用硬编码凭据，可能允许攻击者监控日志文件以获取访问映射数据等信息的凭据。

查看 CVE 详情

受影响产品

Eufy Omni C20, Omni X10 Pro

供应商：
Eufy

产品版本：
Eufy Omni C20: <1.6.4

产品状态：
known_affected

相关 CWE： CWE-798 硬编码凭据的使用

指标

CVSS 版本	基础分数	基础严重性	向量字符串
3.1	5.5	MEDIUM	CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
4.0	6.8	MEDIUM	CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

CVE-2026-93291

Omni C20 缺乏适当的证书验证，可能允许攻击者执行中间人攻击，从而允许他们执行任意代码。

查看 CVE 详情

受影响产品

Eufy Omni C20, Omni X10 Pro

供应商：
Eufy

产品版本：
Eufy Omni C20: <1.6.4

产品状态：
known_affected

相关 CWE： CWE-295 证书验证不当

指标

CVSS 版本	基础分数	基础严重性	向量字符串
3.1	9.4	CRITICAL	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
4.0	9.3	CRITICAL	CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N

致谢

Jared of Somerset Recon 向 CISA 报告了这些漏洞。

法律声明和使用条款

本产品受本通知 (https://www.cisa.gov/notification) 和隐私及使用政策 (https://www.cisa.gov/privacy-policy) 约束。

最佳实践建议

CISA 建议用户采取防御措施，以最大限度地降低利用这些漏洞的风险。

尽量减少所有控制系统设备和/或系统的网络暴露，确保它们无法从互联网访问。
将控制系统网络和远程设备置于防火墙之后，并将其与业务网络隔离。
当需要远程访问时，使用更安全的方法，例如虚拟专用网络 (VPN)，并认识到 VPN 可能存在漏洞，应更新至可用最新版本。同时认识到 VPN 的安全性仅取决于所连接的设备。

CISA 提醒组织在部署防御措施之前进行适当的冲击分析和风险评估。

CISA 还在 cisa.gov/ics 的 ICS 网页上提供了关于控制系统安全最佳实践的部分内容。提供了几种详细介绍网络防御最佳实践的 CISA 产品可供阅读和下载，包括《利用纵深防御策略提高工业控制系统网络安全》。

CISA 鼓励组织实施推荐的网络安全策略，以主动防御 ICS 资产。

有关额外的缓解指南和最佳实践，可在 cisa.gov/ics 的 ICS 网页上的技术信息论文 ICS-TIP-12-146-01B--目标网络入侵检测和缓解策略中公开获取。

目前尚未向 CISA 报告任何专门针对这些漏洞的已知公开利用情况。

修订历史

发布日期： 2026-09-24

日期

修订版

摘要

2026-09-24

首次发布