שרשרת של שלוש פגיעויות במערכת ההפעלה webOS של LG מאפשרת לתוקף שנמצא באותה רשת מקומית להשתלט על הטלוויזיה בהרשאות root, בלי אימות ובלי פעולה מצד המשתמש. LG פרסמה תיקון.
| מזהה CVE | לא הוקצה |
| מוצר מושפע | דגמים 32LQ636BPSA ו-27TQ600SW (נבדקו עם webOS 7.5.7-25); דגמים וגרסאות נוספים לא ידועים |
| חומרה (CVSS) | לא פורסם |
| מנוצל בפועל | לא דווח |
| סטטוס תיקון | LG פרסמה תיקון; מספר הקושחה לא פורסם בכתבה |
מה קרה
לפי הפרסום ב-The Hacker News, ובהתבסס על ייעוץ של SSD Secure Disclosure מ-12 באוקטובר, מדובר בחוקר אנונימי שזכה במקום שלישי בקטגוריית LG webOS בתחרות TyphoonPWN 2026 בסיאול.
השרשרת מתחילה בשירות ההתאמה (pairing) של הטלוויזיה, מנצלת אפליקציית דמו כדי לעקוף את אישור ה-PIN, ומסתיימת בהזרקת פקודות לתהליך שרץ כ-root. פרטי הניצול המעשיים אינם מובאים כאן.
נקודות לשים לב
- בדוק בהגדרות הטלוויזיה אם יש עדכון קושחה זמין והתקן אותו; לא פורסם workaround למי שאינו יכול לעדכן.
- הדגמים שנבדקו הם שניים בלבד, ואין מידע על דגמים אחרים — אל תניח שדגם אחר בטוח או חשוף.
- התקיפה דורשת נוכחות באותה רשת מקומית, ולכן הפרדת מכשירי IoT וטלוויזיות לרשת אורחים או VLAN נפרד מצמצמת את החשיפה.
- לא דווח על ניצול בפועל נכון לפרסום, אך בהיעדר CVE קשה לעקוב אחר הכיסוי בכלי ניהול פגיעויות — תעד את הנכס ידנית.
מקורות: The Hacker News · SSD Secure Disclosure
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
