Droni DJI e Bluetooth: la falla CVE-2026-77812 espone la password Wi-Fi, come proteggersi

Articolo aggiornato al 12 ottobre 2026. La situazione è ancora in evoluzione: lo aggiornerò se DJI rilascia nuove correzioni.

Accendete il drone, aprite DJI Fly, attivate QuickTransfer per scaricare i video sul telefono: un gesto che si fa decine di volte. Secondo una vulnerabilità pubblicata ad agosto, proprio in quel momento chi si trova nel raggio del Bluetooth può leggere in chiaro la password Wi-Fi del drone, senza collegarsi e senza che ve ne accorgiate.

La falla è registrata come CVE-2026-77812, con punteggio CVSS 4.0 di 9.4, e riguarda buona parte dei droni consumer DJI degli ultimi anni. Non permette a uno sconosciuto su Internet di prendere il controllo dell’aereo, ma è il genere di problema che conviene chiudere subito, soprattutto se il drone lo usate per lavoro, per rilievi o ispezioni dai clienti.

Chi è coinvolto

Il record della vulnerabilità elenca questi modelli, vulnerabili fino alla versione di firmware indicata compresa:

• DJI Mini 2 01.07.0200, Mini 3 01.00.0500, Mini 3 Pro 01.00.0900, Mini 4 Pro 01.00.1100, Mini 5 Pro 01.00.0600;
• DJI Air 3 01.00.1600 e Air 3S 01.00.1400;
• DJI Mavic 3 01.00.1400, Mavic 3 Classic 01.00.0800, Mavic 3 Pro 01.01.0700, Mavic 4 Pro 01.00.0500;
• DJI Neo 01.00.0400, Neo 2 01.00.0500, Flip 01.00.1200, Avata 2 01.00.0400, Avata 360 01.00.0300.

I droni della linea Enterprise non compaiono nell’elenco. Nello stesso periodo sono state pubblicate altre due vulnerabilità sugli stessi modelli, CVE-2026-78306 e CVE-2026-78251, che richiedono anch’esse di essere vicini al drone o collegati alla sua rete interna.

Perché succede

Il drone e l’app DJI Fly si scambiano messaggi di controllo anche via Bluetooth Low Energy, e lo fanno senza cifratura. Quando il telefono si collega al Wi-Fi del drone, oppure quando attivate QuickTransfer, l’app invia su quel canale il nome della rete Wi-Fi, la password e un identificativo che il drone usa per riconoscere i dispositivi già autorizzati.

Chi ascolta il Bluetooth nelle vicinanze può quindi recuperare queste informazioni in modo passivo, collegarsi al Wi-Fi del drone, leggere il traffico tra drone e telefono e presentarsi come un dispositivo già fidato. Il dettaglio più fastidioso è che le credenziali restano valide finché non reimpostate a mano le impostazioni Wi-Fi del drone. In rete è già disponibile un proof of concept pubblico, quindi non è più solo un problema teorico.

Prima di iniziare

• Scaricate sul computer foto e video dalla scheda microSD: un aggiornamento firmware non dovrebbe toccarli, ma io preferisco non scoprirlo sul campo.
• Caricate completamente drone, batterie e radiocomando.
• Annotate la versione di firmware attuale, dalle informazioni sul dispositivo in DJI Fly, così potete confrontarla con l’elenco qui sopra.

Come aggiornare e mettere in sicurezza il drone

1. Aggiornate DJI Fly all’ultima versione, scaricandola solo dai canali ufficiali DJI.
2. Collegate il drone e installate l’ultimo firmware che DJI propone per il vostro modello esatto. Fatelo in un posto tranquillo, non in mezzo alla gente.
3. Aggiornate anche il radiocomando (DJI RC, RC 2, RC-N o quello che usate), che ha un firmware suo.
4. Riavviate drone e radiocomando, ricollegateli e verificate che le versioni installate siano più recenti di quelle elencate.
5. Reimpostate le impostazioni Wi-Fi del drone. È il passaggio che quasi tutti saltano ed è quello che rende inutili le credenziali eventualmente intercettate prima dell’aggiornamento.

Attenzione: DJI non indica nel record della vulnerabilità un numero di versione corretto per ogni modello, e rimanda a una pagina del proprio supporto. Non date per scontato che basti la prima versione successiva a quella elencata: installate la più recente disponibile.

Se il problema persiste

Se il vostro modello non riceve più aggiornamenti, o se l’aggiornamento non è ancora arrivato, non esiste una soluzione completa lato utente. Si può però ridurre molto il rischio:

• usate QuickTransfer e il collegamento Wi-Fi solo quando serve e in luoghi tranquilli, non a un evento o in un cantiere affollato;
• per il materiale importante, o riservato del cliente, scaricate dalla microSD o via cavo USB-C;
• reimpostate il Wi-Fi del drone ogni volta che pensate di averlo usato in un contesto a rischio.

Se in azienda avete più droni, trattateli come qualsiasi altro dispositivo in inventario: modello, versione del firmware e data dell’ultimo aggiornamento. Sembra eccessivo finché non arriva la prossima vulnerabilità.

Avete già aggiornato i vostri droni DJI? Raccontate nei commenti quale modello avete e se l’aggiornamento vi è arrivato: possono essere utili ad altri.