Supervisor 2026.10.3 zmienia domyślne ustawienie funkcji, o której wielu użytkowników Home Assistanta dowiedziało się dopiero w zeszłym tygodniu. Chodzi o sprawdzanie, czy hasła z ustawień aplikacji nie trafiły do bazy wycieków Have I Been Pwned (HIBP). Od tej wersji jest ono wyłączone, dopóki sam go nie włączysz. Wydanie trafiło do kanału beta 19 października 2026 o 21:43 czasu polskiego. Późnym wieczorem tego dnia kanał stabilny wciąż oferował wersję 2026.10.2, więc większość instalacji dostanie zmianę dopiero po przeniesieniu nowej wersji do kanału stabilnego. Supervisor zaktualizuje się wtedy sam.

Sprawdzanie haseł trzeba będzie włączyć samemu

Supervisor bierze pod uwagę opcje aplikacji oznaczone jako hasła. Każde hasło zamienia na miejscu na skrót SHA-1 i wysyła do HIBP tylko pierwsze pięć znaków tego skrótu. Serwis odsyła wszystkie skróty o takim początku, a porównanie odbywa się już w Home Assistancie. Mechanizm działa od lat, ale niedawne wydanie naprawiło ostrzeżenie z jego wynikami i dlatego wiele osób zobaczyło je po raz pierwszy.

16 października jeden z użytkowników opisał sprawę w repozytorium dokumentacji (zgłoszenie #49314). Napisał, że nigdy nie zgadzał się na sprawdzanie swoich haseł przez zewnętrzny serwis, i zapytał, jak to wyłączyć. Franck Nijhof (frenck) najpierw zamknął zgłoszenie, uznając, że nie ma czego poprawiać, a potem przeprosił za swoje odpowiedzi. Wskazał też, że polecenie ha security options --pwned=false już teraz wyłącza sprawdzanie, i obiecał poprawić dokumentację.

Zgłoszenie zmian #7382 od użytkownika jasonmp85, scalone 19 października o 17:21, ustawia opcję pwned domyślnie na false. Autor przyznaje w opisie, że k-anonimowość chroni hasła, ale zwraca uwagę, że zewnętrzny serwis i tak dostaje dane z nich wyliczone, a nikt nie pytał użytkownika o zgodę. Instalacje, w których nikt nie ruszał tego ustawienia, dostaną nową wartość domyślną i przestaną sprawdzać hasła. Jeśli kiedyś zmieniłeś tę opcję ręcznie, zostaje to, co wtedy ustawiłeś. Kto chce dalej sprawdzać hasła, musi to włączyć:

ha security options --pwned=true

Wieczorem 19 października strona dokumentacji o hasłach z wycieków wciąż podawała, że sprawdzanie jest domyślnie włączone.

Podrobione nagłówki tożsamości w Ingress

Druga zmiana jest ważna, jeśli korzystasz z aplikacji, które logują cię przez Ingress, czyli mechanizm otwierający interfejs aplikacji wewnątrz Home Assistanta. Zanim pośrednik Ingress przekaże żądanie dalej, usuwa wysłane przez przeglądarkę nagłówki X-Remote-User-Id, X-Remote-User-Name i X-Remote-User-Display-Name. Aplikacja może więc uznać je za informację od Supervisora o tym, kto jest zalogowany. Filtr rozróżniał jednak wielkość liter w nazwach nagłówków. Jeśli klient wysłał x-remote-user-id małymi literami, jego wartość przechodziła dalej obok prawdziwej. Według opisu zmiany #7377 Stefana Agnera (agners) aplikację, która na tej podstawie prowadzi logowanie jednokrotne, dało się przekonać, że zalogowany użytkownik bez uprawnień administratora jest dowolnym innym użytkownikiem Home Assistanta. Teraz Supervisor porównuje nazwy nagłówków po zamianie na małe litery, a własne nagłówki tożsamości ustawia na samym końcu. W informacjach o wydaniu ta poprawka figuruje wśród zwykłych poprawek błędów, bez numeru CVE.

Pozostałe poprawki w 2026.10.3

  • Supervisor odrzuca nazwy kopii zapasowych ze znakami sterującymi, także ze znakiem nowej linii na końcu. Pobrane pliki zachowują nazwy ze spacjami, średnikami i znakami spoza ASCII.
  • Aplikacja, która sprawdza dane logowania do Home Assistanta, nie odrzuca już pierwszego logowania nowym hasłem z powodu nieaktualnego wpisu w pamięci podręcznej.
  • Przywracanie kopii zapasowej z błędnym hasłem kończy się komunikatem o nieprawidłowej kopii zamiast ogólnego błędu, a bieżąca konfiguracja zostaje nietknięta.
  • Wpisy z dziennika systemd pokazują czas w strefie czasowej systemu, a nie w UTC. W informacjach o wydaniu to zmiana niezgodna wstecz. Home Assistant Core 2026.11 dopisze z kolei przesunięcie względem UTC do czasu w każdym wierszu własnego dziennika (zmiana #186660 w Core).