Trzy luki w systemie webOS firmy LG da się połączyć w łańcuch, który daje napastnikowi z tej samej sieci lokalnej pełne uprawnienia administratora (konto root) na telewizorze. Napastnik nie potrzebuje do tego kodu PIN ani żadnego działania ze strony właściciela. Szczegóły opublikowała 12 października 2026 firma SSD Secure Disclosure, razem z kompletnym kodem demonstrującym atak. LG wydał już poprawkę i podaje ją w swoim biuletynie bezpieczeństwa dla telewizorów.

Atak potwierdzono na dwóch modelach, 32LQ636BPSA i 27TQ600SW, z systemem webOS 7.5.7-25 i oprogramowaniem w wersji 04.54.40. Nie wiadomo, czy podatne są też inne modele albo inne wersje oprogramowania. Według serwisu The Hacker News lukom nie nadano numerów CVE i nikt nie zgłosił ich wykorzystania w prawdziwych atakach.

Jak działa łańcuch

Atak zaczyna się od usługi na porcie 3001, przez którą aplikacja LG ThinQ paruje się z telewizorem. W oprogramowaniu telewizora jest wbudowana aplikacja sync-demo z manifestem podpisanym certyfikatem testowym, któremu telewizor ufa. Manifest zawiera uprawnienie STB_INTERNAL_CONNECTION, a gdy usługa parowania je zobaczy, pomija pytanie o kod PIN. Napastnik, który odtworzy ten manifest, dostaje uprzywilejowany klucz klienta, a na ekranie nic się nie pojawia.

Z tym kluczem napastnik uruchamia drugą wbudowaną aplikację, cmp-client, i podaje jej adres strony. Aplikacja sprawdza tylko, czy pod adresem coś odpowiada na zapytanie HEAD, a potem go otwiera, bez żadnych ograniczeń co do protokołu czy serwera. Otwarta strona ma przy tym dostęp do PalmServiceBridge, czyli interfejsu do wewnętrznych usług systemowych telewizora, i może wywoływać funkcje, do których samo połączenie parowania nie ma dostępu.

Ostatnim ogniwem jest usługa dziennika systemowego pmlogd. Jej metoda collectAllLog wstawia pole targetDir do poleceń powłoki bez żadnego sprawdzania. Usługa pmlogd działa z uprawnieniami konta root, więc wstrzyknięte polecenie też.

Autor łańcucha, który pozostaje anonimowy, zajął trzecie miejsce w kategorii LG webOS na konkursie TyphoonPWN 2026, rozegranym w maju w Seulu. The Hacker News przypomina, że to nie pierwsza taka droga do przejęcia telewizorów LG przez sieć. W 2024 roku Bitdefender opisał inny zestaw luk w webOS dostępnych z sieci, które LG załatał w marcu tamtego roku.

Co zrobić

Zainstaluj na telewizorze najnowsze oprogramowanie. The Hacker News zaznacza, że właściciele, którzy nie mogą jeszcze tego zrobić, nie mają żadnego doraźnego obejścia. Kod ataku jest publiczny i wymaga tylko dostępu do telewizora przez sieć, więc telewizor bez aktualizacji warto przenieść do osobnej sieci dla urządzeń inteligentnego domu i sprzętu multimedialnego. Pamiętaj tylko, że aplikacja w telefonie i integracja Home Assistanta, która steruje telewizorem, będą wtedy potrzebowały reguły w zaporze sieciowej, żeby się do niego dostać.