安全研究人員在DJI多款無人機中發(fā)現(xiàn)嚴(yán)重藍牙安全漏洞（CVE-2026-78306與CVE-2026-77812）。其中CVE-2026-77812被評為9.4分的臨界漏洞，CVE-2026-78306評分為8.5分。漏洞源于設(shè)備藍牙接口未對DUML（DJI通用標(biāo)記語言）協(xié)議進行身份驗證，攻擊者在藍牙信號覆蓋范圍內(nèi)即可發(fā)送指令、修改無線參數(shù)或截獲敏感憑證。

該漏洞的攻擊向量并非遠程互聯(lián)網(wǎng)入侵，而是依賴物理鄰近性。一旦通過藍牙接口篡改網(wǎng)絡(luò)配置或獲取內(nèi)部網(wǎng)絡(luò)訪問權(quán)限，攻擊者理論上可觸及飛行控制界面并發(fā)出指令。此外，惡意命令可直接導(dǎo)致Wi-Fi與藍牙模塊重啟或斷開，中斷飛行中的遙控、視頻傳輸與遙測數(shù)據(jù)。CISA相關(guān)記錄顯示目前“無已知利用”，尚未發(fā)現(xiàn)大規(guī)模劫持事件。

受影響機型涵蓋DJI Neo、Flip、Air 3/3S、Avata 2/360、Mavic 3/4系列及Mini 2/3/3 Pro/4 Pro/5 Pro等多個世代與消費級產(chǎn)品線，具體以未打補丁的固件版本為準(zhǔn)。兩項漏洞由研究員Abdelrahman Yousef與Dr. Jordan Samhi負(fù)責(zé)任地披露，二人已獲DJI安全響應(yīng)中心認(rèn)可。CVE-2026-77812于2026年8月21日公開，CVE-2026-78306于8月24日跟進發(fā)布。

官方修復(fù)方案明確為通過DJI官方工具將設(shè)備固件更新至Zui新版本。針對企業(yè)用戶，報告指出連接型無人機應(yīng)納入數(shù)字資產(chǎn)與網(wǎng)絡(luò)安全庫存管理，而非僅視為攝影器材。此次事件再次提示物聯(lián)網(wǎng)架構(gòu)中，次要無線接口若缺乏隔離與認(rèn)證，可能成為通往核心系統(tǒng)的突破口，需同步強化網(wǎng)絡(luò)安全與運行安全管控。