6 listopada 2026 Zero Day Initiative firmy Trend Micro opublikowało jednocześnie trzy raporty o lukach w Philips Hue Bridge Pro. Najpoważniejsze dotyczą usługi HTTPS na porcie TCP 443. ZDI-26-892 (CVE-2026-122044) to obejście uwierzytelniania dla atakującego w tej samej sieci, bez logowania, z oceną CVSS 8,8. ZDI-26-891 (CVE-2026-118632) to SQL injection, które po obejściu uwierzytelniania może umożliwić atakującemu uruchomienie kodu z uprawnieniami roota; luka otrzymała ocenę CVSS 8,0. Trzecia luka, ZDI-26-890, ma niższy priorytet: wstrzyknięcie argumentów, do którego wykorzystania atakujący musi już mieć możliwość wykonywania kodu w kontenerze na mostku.
Co załatać i co sprawdzić
Według wszystkich trzech raportów luki usunięto w oprogramowaniu Bridge Pro w wersji 6.1.2071524030. Firma Signify udostępniła tę wersję 24 września 2026; w aktualnych informacjach o wydaniach Bridge Pro jest też 6.3.2071556020 z 22 października. W aplikacji Hue wejdź w Ustawienia > Aktualizacja oprogramowania, włącz aktualizacje automatyczne, jeśli są wyłączone, i upewnij się, że mostek ma co najmniej 6.1.2071524030.
Atakujący musi mieć dostęp do mostka w sieci lokalnej lub z innego segmentu sieci, z którego można połączyć się z portem TCP 443 urządzenia. To wystarczający powód, by Bridge Pro nie był dostępny z sieci gościnnej ani nie był wystawiony do internetu. Opóźnioną aktualizację warto traktować jako realne ryzyko, a nie kosmetyczny wpis w changelogu.
Autor raportów to Connor Ford z TrendAI Zero Day Initiative. Zgłoszenia trafiły do producenta w sierpniu 2026; wszystkie trzy raporty upubliczniono 6 listopada. Trzy raporty dotyczą wyłącznie Hue Bridge Pro, nie starszego Hue Bridge; przed aktualizacją warto w aplikacji sprawdzić model mostka.