در بیش از ۱۸۰ تا ۸۰۰ هزار دوربین مدار بسته‌ی متصل به اینترنت، یک آسیب‌پذیری روز-صفرم شناسایی شده که مهاجم با بهره‌برداری از آن می‌تواند کنترل دستگاه را در دست گرفته، به جاسوسی پرداخته و یا اینکه بدافزاری را بر روی آن نصب کند. این آسیب‌پذیری بحرانی گزارش شده و مربوط به ثابت‌افزاری است که دارای این آسیب‌پذیری بوده و از هر ۱۰۰ دوربین، یکی دارای این ثابت‌افزار هستند. یک شرکت تایوانی که ارائه‌دهنده‌ی این ثابت‌افزار است، فهرستی از شرکای خود از جمله، سونی، سیسکو، دی‌لینک و پاناسونیک را نام برده که از این ثابت‌افزار آسیب‌پذیر استفاده می‌کنند.
به این آسیب‌پذیری‌ها شناسه‌های CVE-2018-1149 و CVE-2018-1150 اختصاص یافته و Peekaboo نام‌گذاری شده و مربوط به نرم‌افزار وب‌سرور NVRMini2 این شرکت تایوانی است. گفته می‌شود این آسیب‌پذیری‌های جدید می‌توانند دوربین‌های اینترنتی را در معرض حملات بات‌نت قرار دهند.
آسیب‌پذیری اول با شناسه‌ی CVE-2018-1149 یک آسیب‌پذیری روز-صفرم است. مهاجم با بهره‌برداری از این آسیب‌پذیری و با استفاده از ابزاری مانند Shodan می‌تواند به شنود اطلاعات دوربین بپردازد. در ادامه مهاجم می‌تواند حمله‌ی سرریز بافر را انجام داده و به واسط CGI که مانند یک دروازه بین کاربرِ راه دور و وب‌سرور عمل می‌کند، دسترسی داشته باشد. به گفته‌ی محققان امنیتی در این حمله یک فایل کوکیِ بسیار بزرگ برای پردازش به CGI تحویل داده می‌شود. در ادامه CGI نمی‌تواند به درستی ورودی‌های کاربر را اعتبارسنجی کرده و مهاجم می‌تواند به وب‌سرور دسترسی پیدا کند.
آسیب‌پذیری دوم با شناسه‌ی CVE-2018-1150 از قابلیت‌های درب پشتی در نرم‌افزار وب‌سرور بهره می‌برد. کد درب‌پشتی PHP به مهاجم اجازه می‌دهد بدون احراز هویت بتواند گذرواژه‌ی هر کاربری به جز مدیر سیستم را تغییر دهد. این شرکت تایوانی در ثابت‌افزار نسخه‌ی ۳٫۹٫۱ (۰۳٫۰۹٫۰۰۰۱٫۰۰۰۰) و بعدتر این آسیب‌پذیری‌ها را وصله کرده است. متاسفانه فرآیند به‌روزرسانی خودکار وجود نداشته و تمامی این دوربین‌های اینترنتی باید به‌طور دستی به‌روزرسانی شوند.
