Een ernstig beveiligingslek in de Bluetooth-interface van DJI-drones maakt het mogelijk om zonder authenticatie bepaalde commando’s naar de drone te sturen. Daarmee kunnen onder meer de wifi- en Bluetooth-verbinding worden uitgeschakeld, instellingen worden gewijzigd en de drone worden herstart of uitgezet. Volgens beveiligingsonderzoekers is het in theorie zelfs mogelijk om via deze kwetsbaarheid toegang te krijgen tot de vluchtbesturing. Een daadwerkelijke overname van een vliegende drone is echter nog niet aangetoond.
Inhoudsopgave
Kwetsbaarheid in Bluetooth-interface
De kwetsbaarheid, aangeduid als CVE-2026-78306, werd ontdekt door beveiligingsonderzoekers Abdelrahman Yousef en dr. Jordan Samhi. De fout zit in de manier waarop DJI de authenticatie van commando’s via Bluetooth heeft geïmplementeerd. De kwetsbaarheid kreeg een CVSS 4.0-score van 8,5 op een schaal van tien.
Het probleem doet zich voor bij zestien DJI-modellen, waaronder de Neo, Neo 2, Flip, Air 3, Air 3S, Avata 2, Avata 360, verschillende Mavic 3-modellen en de Mavic 4 Pro. Ook de Mini 2, Mini 3, Mini 3 Pro, Mini 4 Pro en Mini 5 Pro zijn getroffen. De betreffende firmwareversies staan in het CVE-register vermeld; voor alle getroffen modellen is inmiddels een firmware-update als oplossing aangegeven.
De onderzoekers ontdekten dat Bluetooth bij deze drones wordt gebruikt om verbinding te maken met de wifi-interface van de drone en netwerkgegevens uit te wisselen. Daarbij worden slechts enkele commando’s gecontroleerd op een vertrouwde UUID. Andere commando’s kunnen zonder een dergelijke controle worden aangeboden.
Commando’s zonder authenticatie
Dat betekent dat een aanvaller die zich binnen Bluetooth-bereik bevindt, met behulp van DJI’s eigen DUML-protocol commando’s naar de drone kan sturen. DUML is het door DJI gebruikte protocol voor communicatie tussen onder meer de drone en de afstandsbediening.
Volgens de onderzoekers kunnen dergelijke niet-geauthenticeerde commando’s onder meer worden gebruikt om de wifi-SSID en het wachtwoord te veranderen, draadloze instellingen aan te passen en wifi of Bluetooth uit en weer aan te zetten. Ook kunnen de drone en verschillende configuraties worden gereset.
De gevolgen kunnen verder gaan dan alleen het verliezen van de verbinding. Sommige resetcommando’s hebben betrekking op onder meer de flight controller, gimbal, camera, wifi en software-defined radio. Andere commando’s kunnen de opslag formatteren of systeemlogs wissen.
De onderzoekers hebben voor hun proof-of-concept bovendien bewust een extra bevestigingsstap ingebouwd voor commando’s die potentieel gevaarlijk zijn. Bij een reset van de flight-controllerconfiguratie waarschuwt de testsoftware bijvoorbeeld dat hierdoor de motoren opnieuw kunnen starten.
CVE-2026-78306 — DJI Drone Vulnerability
DJI drones expose a Bluetooth channel that allows an attacker to send commands without authentication.
POC👇#DJI #bugbounty #CyberSecurity #CVE #DroneSecurity #ReverseEngineering pic.twitter.com/itqbJLXjyr
— Abdelrahman Yousef (@0xWh0_4m_1_) September 20, 2026
Kan een drone tijdens de vlucht worden overgenomen?
Volgens de onderzoekers zou een aanvaller eerst het wifi-wachtwoord van de drone kunnen wijzigen en vervolgens verbinding kunnen maken met het interne wifi-netwerk. Vanuit daar zou mogelijk een route naar de vluchtbesturing kunnen ontstaan, waardoor uiteindelijk ook vluchtcommando’s zouden kunnen worden verstuurd.
Een daadwerkelijke overname van een drone tijdens de vlucht is echter niet door de onderzoekers aangetoond. Het gaat vooralsnog om een mogelijk gevolg van de gevonden kwetsbaarheid, niet om een scenario dat met de gepubliceerde proof-of-concept daadwerkelijk is gedemonstreerd.
Een aanval waarbij alleen de verbinding tussen drone en piloot wordt verbroken, is volgens de onderzoekers wel een concreet risico. Een aanvaller kan immers wifi- of Bluetooth-functionaliteit uitschakelen of herstarten, waardoor de besturing, videobeelden en telemetrie kunnen worden verstoord.
Dat kan tijdens een vlucht op zichzelf al problematisch zijn, zeker wanneer een drone wordt ingezet voor professionele of zelfs bedrijfskritische toepassingen. Daarbij moet worden aangetekend dat het bereik van Bluetooth beperkt is tot enkele tientallen meters, waardoor een aanvaller zich relatief dicht bij de drone moet bevinden om de kwetsbaarheid te kunnen uitbuiten.
Firmware controleren
Het CVE-register vermeldt voor alle zestien getroffen modellen specifieke firmwareversies die kwetsbaar zijn. De kwetsbaarheid wordt volgens de beschikbare informatie verholpen door de firmware van de drone bij te werken.
DJI heeft hiervoor een beveiligingsadvies gepubliceerd. Dronegebruikers met een van de getroffen modellen doen er daarom verstandig aan om te controleren of zowel de drone als de bijbehorende apparatuur van de meest recente firmware is voorzien voordat de drone opnieuw wordt ingezet. DJI vermeldt in de betreffende changelogs niet meer dan de kwalificatie ‘known issue’.
Er zijn vooralsnog geen aanwijzingen dat CVE-2026-78306 daadwerkelijk in de praktijk wordt uitgebuit. De kwetsbaarheid staat ook niet in de Known Exploited Vulnerabilities-catalogus van CISA. De CISA-analyse bij het CVE-record vermeldt momenteel geen waargenomen exploitatie en classificeert de technische impact als partial.
Niet het eerste beveiligingsprobleem
De ontdekking staat bovendien niet op zichzelf. Volgens Cybernews, dat als eerste over de kwetsbaarheid berichtte, hebben Yousef en Samhi in augustus meerdere beveiligingsproblemen in DJI-drones gemeld. Daarbij ging het onder meer om een mediaserver die zonder login toegankelijk was, een FTP-dienst met een voor alle apparaten identiek ingebouwd wachtwoord en een mediaserver die informatie lekte.
Eerder ontdekten de onderzoekers bovendien dat DUML-data via Bluetooth onversleuteld kon worden verzonden. Daardoor zou iemand in de buurt communicatie tussen de drone en andere apparatuur kunnen onderscheppen.
Dat beveiligingslekken in consumentendrones niet nieuw zijn, bleek ook al eerder. In april 2025 werden diverse kwetsbaarheden in drones van Holy Stone beschreven, terwijl in 2015 een beveiligingsonderzoek naar de Parrot AR.Drone aantoonde dat het mogelijk was om controle over dit model over te nemen.
