文章总结： CISA公告指出GardynIoTHub存在三个漏洞，最严重CVE-2026-13768（CVSS10）因硬编码凭据导致未认证远程代码执行，影响超13.8万台设备。攻击者可利用泄露密钥控制设备并横向渗透。补丁已部署，建议保持设备联网更新并置于防火墙后。 综合评分： 89 文章分类： 漏洞分析,IoT安全,应急响应,威胁情报,网络安全

Gardyn 物联网中枢漏洞 CVE-2026-13768（CVSS 10）可导致未经身份验证的远程代码执行

sec随谈 sec随谈

sec随谈

2026年7月13日 08:52 北京

在小说阅读器读本章

去阅读

摘要

CISA（美国网络安全和基础设施安全局）发布了一份公告，涉及 Gardyn IoT Hub（Gardyn 室内智能菜园的控制器）中的三个漏洞。其中最严重的 CVE-2026-13768 获得了 CVSS 满分 10 分，可导致未经身份验证的远程代码执行。Gardyn 已经修复了其云端基础设施，设备也会通过互联网自动更新。

为何重要

Gardyn 销售面向家庭、通过 App 控制的水培种植设备。CISA 一份相关公告统计出该产品线共有超过 138,000 台已注册设备。因此，仅一个泄露的密钥就会使一大批设备面临风险。由于该漏洞无需登录，攻击者可直接从互联网触及设备——一个密钥便能一次性解锁整个被管理的设备群。CISA 将这些漏洞归类于”食品与农业(Food and Agriculture)”这一关键基础设施领域。截至目前，CISA 报告尚无已知的在野利用。

攻击原理

Gardyn IoT Hub 暴露了一个具有特权的 iothubowner 密钥。利用该密钥，攻击者可以调用一个 Azure IoT Hub 注册表管理器(Registry Manager)函数。该调用会返回每一台 Gardyn Home Kit 和 Studio 设备的连接详情。由此，攻击者便可在选定的设备上执行任意命令。更糟的是，他们还能横向渗透(pivot)到受害者家庭网络中的其他设备。CISA 公告 ICSA-26-183-03 将根本原因追溯至硬编码凭据(hard-coded credentials)，即 CWE-798。

另外两个较低危漏洞

CVE-2026-55726（CVSS 5.3）使得一个设备日志存储容器可被公开列出(publicly listable)。CVE-2026-54477（CVSS 5.4）则导致管理面板缺失安全标头(security headers)，从而招致点击劫持(clickjacking)和跨站脚本(XSS)风险。

受影响版本

这些漏洞影响 master.627 之前的 Gardyn Home 和 Studio 固件，以及 2.12.2026 之前的 Cloud API。Michael Groberman 向 CISA 报告了这些问题。

补丁与缓解措施

Gardyn 表示其已部署的基础设施现已能够封堵这些漏洞。请让每一台 Gardyn IoT Hub 保持联网状态，以便固件更新能够自动送达；同时将 Gardyn 移动 App 更新至最新版本。除此之外，CISA 敦促设备所有者让控制设备远离公共互联网，并置于防火墙之后。如需了解详情及联系方式，请查阅 Gardyn 安全页面。

参考链接：

Security update for Gardyn Home and Gardyn Studio

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：sec随谈 sec随谈 sec随谈《Gardyn 物联网中枢漏洞 CVE-2026-13768（CVSS 10）可导致未经身份验证的远程代码执行》