Vulnerabilità droni DJI: aggiornare subito il firmware per proteggere Wi-Fi, foto e dati
Tre nuove vulnerabilità nei droni DJI, due classificate come critiche e una con gravità alta, sono state risolte attraverso specifici aggiornamenti di sicurezza. Le falle interessano numerosi modelli consumer delle serie DJI Mini, Mavic, Air, Avata, Neo e Flip e potrebbero esporre credenziali Wi-Fi, fotografie, video, registri di volo e altri dati memorizzati sul drone.
La segnalazione è stata pubblicata dall’Agenzia per la Cybersicurezza Nazionale, che raccomanda agli utenti di installare tempestivamente le patch e le versioni firmware più recenti distribuite attraverso i canali ufficiali DJI.
Non si tratta necessariamente di vulnerabilità sfruttabili da qualsiasi parte del mondo attraverso Internet. In diversi scenari l’attaccante dovrebbe trovarsi nelle vicinanze del drone oppure avere accesso alla sua rete interna. La gravità resta tuttavia elevata perché le falle possono interessare la riservatezza dei dati, la memoria del dispositivo e alcuni servizi di rete utilizzati durante il trasferimento dei file.
Quali sono le nuove vulnerabilità di sicurezza dei droni DJI?
Le vulnerabilità indicate dall’ACN sono identificate come CVE-2026-77812, CVE-2026-78251 e CVE-2026-78255. Le prime due hanno ricevuto una valutazione critica, mentre la terza è classificata con gravità alta.
| Vulnerabilità | Gravità | Rischio principale |
|---|---|---|
| CVE-2026-77812 | Critica – CVSS 9.4 | Esposizione delle credenziali Wi-Fi attraverso Bluetooth Low Energy |
| CVE-2026-78251 | Critica – CVSS 9.3 | Saturazione della memoria e possibile blocco di log, telemetria e aggiornamenti |
| CVE-2026-78255 | Alta – CVSS 8.7 | Accesso non autorizzato alle fotografie e ai video memorizzati |
CVE-2026-77812: credenziali Wi-Fi trasmesse senza cifratura
La prima vulnerabilità riguarda il protocollo DUML, acronimo di DJI Universal Markup Language, utilizzato per alcune comunicazioni tra il drone e l’applicazione DJI Fly. Durante una connessione Wi-Fi o quando viene attivata la modalità QuickTransfer, alcune informazioni vengono scambiate attraverso Bluetooth Low Energy.
Secondo la descrizione della vulnerabilità, questo traffico può includere in chiaro il nome della rete Wi-Fi del drone, la relativa password e l’identificativo utilizzato per riconoscere un dispositivo attendibile. Un soggetto dotato di strumenti adeguati e presente nel raggio della connessione Bluetooth potrebbe quindi intercettare passivamente queste informazioni.
Le credenziali ottenute potrebbero permettere di accedere alla rete interna del drone e interagire con i servizi esposti dal dispositivo. L’attacco richiede quindi prossimità fisica e l’intercettazione di una normale sessione di collegamento, ma potrebbe avvenire senza generare segnali immediatamente visibili all’operatore.
CVE-2026-78251: rischio di saturazione della memoria del drone
La seconda vulnerabilità critica interessa un servizio FTP presente sui modelli coinvolti. Il servizio utilizzerebbe credenziali predefinite condivise e consentirebbe il caricamento di file nella directory interna dedicata agli aggiornamenti senza sufficienti limitazioni relative alla dimensione, al numero dei file o allo spazio complessivamente utilizzato.
Un attaccante con accesso alla rete interna del drone o all’interfaccia USB RNDIS potrebbe tentare di riempire lo spazio di archiviazione disponibile. La saturazione della memoria potrebbe impedire al drone di salvare correttamente registri di volo, log e dati di telemetria e potrebbe interferire anche con l’installazione di successivi aggiornamenti firmware.
La criticità è aggravata dal fatto che i file caricati potrebbero rimanere nella memoria anche dopo il riavvio o il ripristino delle impostazioni di fabbrica. L’installazione del firmware corretto è pertanto la principale misura indicata per risolvere il problema.
CVE-2026-78255: possibile accesso a foto e video
La terza vulnerabilità riguarda il server HTTP utilizzato dal drone per rendere disponibili fotografie e video durante il trasferimento. Il servizio potrebbe fornire i contenuti attraverso uno specifico endpoint senza verificare adeguatamente l’identità del dispositivo che effettua la richiesta.
Poiché i nomi dei file seguono una struttura prevedibile, un soggetto già collegato alla rete interna del drone potrebbe provare a individuare e scaricare i contenuti archiviati. Le conseguenze non riguardano solamente la perdita delle immagini: fotografie e filmati possono rivelare luoghi privati, proprietà, infrastrutture, persone identificabili, spostamenti e abitudini operative.
Il rischio assume particolare importanza per professionisti e aziende che impiegano i droni per ispezioni, documentazione tecnica, cantieri, sicurezza, rilievi o acquisizione di immagini presso siti riservati.
Quali modelli DJI sono interessati?
Le tre vulnerabilità coinvolgono un ampio gruppo di droni consumer. Sono considerate interessate le versioni firmware uguali o precedenti a quelle riportate di seguito:
- DJI Neo: fino alla versione 01.00.0400;
- DJI Neo 2: fino alla versione 01.00.0500;
- DJI Flip: fino alla versione 01.00.1200;
- DJI Air 3: fino alla versione 01.00.1600;
- DJI Air 3S: fino alla versione 01.00.1400;
- DJI Avata 2: fino alla versione 01.00.0400;
- DJI Avata 360: fino alla versione 01.00.0300;
- DJI Mavic 3: fino alla versione 01.00.1400;
- DJI Mavic 3 Classic: fino alla versione 01.00.0800;
- DJI Mavic 3 Pro: fino alla versione 01.01.0700;
- DJI Mavic 4 Pro: fino alla versione 01.00.0500;
- DJI Mini 2: fino alla versione 01.07.0200;
- DJI Mini 3: fino alla versione 01.00.0500;
- DJI Mini 3 Pro: fino alla versione 01.00.0900;
- DJI Mini 4 Pro: fino alla versione 01.00.1100;
- DJI Mini 5 Pro: fino alla versione 01.00.0600.
I modelli professionali DJI Enterprise, come Matrice 4, Matrice 30, Matrice 350 RTK e Mavic 3 Enterprise, non compaiono nell’elenco associato a queste tre specifiche vulnerabilità. Questo non esclude la necessità di mantenere aggiornati anche i dispositivi Enterprise e i relativi radiocomandi.
Cosa devono fare i proprietari di un drone DJI?
La misura più importante è verificare immediatamente la versione del firmware installata e applicare tutti gli aggiornamenti disponibili attraverso DJI Fly o gli altri strumenti ufficiali compatibili con il proprio modello.
- Aggiornare l’applicazione DJI Fly all’ultima versione disponibile.
- Accendere drone e radiocomando e collegarli normalmente all’app.
- Controllare la presenza di nuovi aggiornamenti firmware.
- Installare l’aggiornamento mantenendo i dispositivi alimentati e connessi.
- Verificare, al termine, che la procedura sia stata completata correttamente.
- Aggiornare anche radiocomando, batterie intelligenti e altri componenti quando richiesto.
Prima dell’aggiornamento è consigliabile effettuare il backup di fotografie, video e registri di volo importanti. Per le flotte aziendali può essere utile creare un inventario dei droni con modello, numero di serie e versione firmware, registrando la data in cui è stata installata la patch.
Precauzioni temporanee per QuickTransfer e reti Wi-Fi
Le precauzioni operative possono ridurre l’esposizione, ma non sostituiscono l’aggiornamento firmware. Fino all’installazione delle patch è prudente limitare l’utilizzo di QuickTransfer in luoghi affollati o non controllati, evitare collegamenti non necessari e spegnere il drone quando il trasferimento dei file è terminato.
Per contenuti particolarmente sensibili può essere preferibile rimuovere la scheda microSD e trasferire i dati attraverso un lettore collegato direttamente a un computer affidabile. Dopo l’aggiornamento, chi ha utilizzato frequentemente QuickTransfer in ambienti pubblici può inoltre valutare il ripristino delle impostazioni Wi-Fi del drone seguendo le istruzioni ufficiali DJI.
Le vulnerabilità permettono di controllare il drone durante il volo?
Le informazioni pubblicate descrivono principalmente rischi relativi alle credenziali di rete, all’accesso ai contenuti e alla disponibilità dello spazio di archiviazione. Non dimostrano automaticamente che un aggressore possa assumere il controllo remoto del drone durante qualsiasi operazione di volo.
È quindi importante evitare interpretazioni allarmistiche. La classificazione critica deriva dal potenziale impatto tecnico delle vulnerabilità, ma lo sfruttamento richiede condizioni precise, come la vicinanza al drone o l’accesso alla sua rete interna. L’aggiornamento resta comunque urgente perché le diverse debolezze, se combinate, potrebbero ampliare le possibilità di accesso ai servizi del dispositivo.
Aggiornare il firmware DJI è essenziale per la sicurezza
I droni moderni sono sistemi connessi che combinano Wi-Fi, Bluetooth, applicazioni mobili, memoria interna e servizi di rete. Per questo motivo la gestione degli aggiornamenti deve essere considerata parte integrante della sicurezza operativa, esattamente come la verifica delle batterie, delle eliche e dello spazio aereo.
L’aggiornamento del firmware dei droni DJI interessati consente di correggere le vulnerabilità segnalate e proteggere credenziali, fotografie, filmati, log e dati di telemetria. Gli operatori privati e professionali dovrebbero controllare periodicamente la disponibilità di nuove versioni e utilizzare esclusivamente software, applicazioni e canali di assistenza ufficiali DJI.
