Die Sicherheitsforscher Abdelrahman Yousef und Dr. Jordan Samhi haben eine schwere Bluetooth-Schwachstelle in DJI-Drohnen veröffentlicht. Die als CVE-2026-78306 registrierte Lücke (CVSS 8,5) betrifft 16 Modelle und erlaubt Angreifern in Bluetooth-Reichweite, ohne jede Authentifizierung Befehle an die Drohne zu senden.

Was können Angreifer tun?

Das Problem steckt im DUML-Protokoll (DJI Universal Markup Language), über das Controller und Drohne kommunizieren. Nur drei Befehle — WLAN-Name, Passwort und MAC-Adresse abrufen — prüfen auf eine vertrauenswürdige UUID. Alle anderen akzeptieren Kommandos von jedem Bluetooth-Gerät in Reichweite.

Der veröffentlichte Exploit zeigt: Angreifer können das WLAN-Passwort ändern, WLAN und Bluetooth deaktivieren, die Drohne ausschalten und Konfigurationen zurücksetzen — inklusive Flugcontroller, Gimbal und Kamera. Ein Eindringen ins interne WLAN-Netz öffnet theoretisch den Weg zur Flugsteuerung, auch wenn die Forscher eine vollständige Übernahme im Flug bisher nicht demonstriert haben.

Betroffen sind Modelle der Reihen Mavic, Mini, Air, Neo, Flip und Avata. Eine vollständige Liste mit anfälligen Firmware-Versionen hat Yousef auf GitHub veröffentlicht. DJI hat sich laut Cybernews bisher nicht geäußert. Wer eine DJI-Drohne besitzt, sollte die installierte Firmware-Version mit der Liste abgleichen und verfügbare Updates sofort einspielen.

Bluetooth-Schwachstellen in vernetzten Geräten häufen sich — erst kürzlich mussten etwa Synology-NAS-Besitzer kritische Lücken patchen. Ehrlich gesagt finde ich es bedenklich, dass ein Protokoll ohne Verschlüsselung und Authentifizierung derart weitreichende Kontrolle über ein Fluggerät erlaubt.