Absturzgefahr: Exploit lässt Angreifer DJI-Drohnen mitten im Flug kapern
Der Sicherheitsforscher Abdelrahman Yousef hat einen Exploit für eine Sicherheitslücke veröffentlicht, mit der sich per Bluetooth die Kontrolle über Drohnen des Herstellers DJI übernehmen lässt. Laut Exploit-Beschreibung betrifft die Lücke insgesamt 16 DJI-Modelle, darunter solche der Modellreihen Mini, Mavic, Avata, Air, Flip und Neo. Nutzer sollten nach korrigierten Firmware-Versionen Ausschau halten.
Die besagte Sicherheitslücke ist als CVE-2026-78306(öffnet im neuen Fenster) registriert und erreicht einen hohen Schweregrad (CVSS: 8,5). Angreifer können laut Schwachstellenbeschreibung per Bluetooth WLAN-Konfigurationsparameter anfälliger Drohnen manipulieren, darunter den Zugangsschlüssel, die SSID, die Mac-Adresse und den Funkkanal.
Dies soll sich ausnutzen lassen, um eine Verbindung zum internen WLAN-Netz anfälliger DJI-Drohnen aufzubauen und damit potenziell auch in die Flugsteuerung einzugreifen. Auch das Deaktivieren oder Neustarten der WLAN- und Bluetooth-Schnittstellen soll mittels spezieller Befehle möglich sein, so dass Piloten während des Fluges plötzlich die Verbindung zu ihrer Drohne verlieren.
Firmware-Update erforderlich
Entsprechende Kontrollmöglichkeiten bietet auch der auf Github veröffentlichte Exploit(öffnet im neuen Fenster) von Yousef. Einem Bericht von Cybernews(öffnet im neuen Fenster) zufolge entdeckte er die Sicherheitslücke zusammen mit seinem Kollegen Dr. Jordan Samhi. Ein erfolgreicher Angriff setzt den Angaben zufolge keine Authentifizierung voraus. Der Angreifer muss sich lediglich in Bluetooth-Reichweite befinden und spezielle DUML-Befehle (DJI Universal Markup Language) übermitteln können.
Eine Auflistung aller betroffenen DJI-Modelle und Firmware-Versionen findet sich in Yousefs Exploit-Beschreibung. Um CVE-2026-78306 zu schließen, ist jeweils ein Firmware-Update erforderlich. Besitzer von DJI-Drohnen können durch Abgleich der jeweils installierten Firmware-Version ihrer Drohnen mit der Liste des Forschers(öffnet im neuen Fenster) prüfen, ob sie bereits ein schützendes Update erhalten haben.
Interessenten können den Exploit auch nutzen, um diesen an einer eigenen Drohne zu testen. Yousef demonstriert dessen Verwendung in einem kurzen Videoclip(öffnet im neuen Fenster) und liefert auf Github eine ausführliche Dokumentation. Der Forscher betont allerdings, dass der Exploit nur in kontrollierten Umgebungen eingesetzt werden sollte, da er Drohnenabstürze und damit physische Schäden herbeiführen und Personen verletzen könne.
Wir öffnen unsere neue Community für weitere Mitglieder! Möchtest du in konstruktiver und respektvoller Atmosphäre mit anderen IT-Experten über deine Themen sprechen? Sei dabei und melde dich an!
- Anzeige Hier geht es zur DJI Mini 4 Pro bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.