27 października 2026 amerykańska agencja CISA zmieniła swój komunikat ICSA-26-267-02 o robotach sprzątających Eufy. Aktualizacja A poprawia listę podatnych wersji i wersje z poprawką. Pierwotny komunikat z 24 września zalecał właścicielom Omni C20 i Omni X10 Pro instalację wersji 1.6.4. Nowa wersja podaje osobną wersję z poprawką dla każdego modelu i zawęża listę luk, które dotyczą X10 Pro.

Trzy luki

Podatności zgłosił do CISA Jared z firmy Somerset Recon. Wszystkie trzy dotyczą Omni C20:

  • CVE-2026-93289: wstrzykiwanie poleceń systemowych podczas parowania. Atakujący bez uwierzytelnienia może wykonywać polecenia systemowe. Musi jednak być w sąsiedniej sieci, na przykład w zasięgu Wi-Fi albo w tym samym segmencie sieci. Ocena CVSS v4: 9,0.
  • CVE-2026-93290: zaszyte na stałe dane logowania. Według CISA atakujący, który może czytać pliki dziennika, zdobędzie z nich dane logowania i dostęp do informacji takich jak mapy sprzątania. Wymaga to dostępu lokalnego. CVSS v4: 6,8.
  • CVE-2026-93291: brak sprawdzania certyfikatów. Atakujący w pozycji „man in the middle” może przechwycić połączenie i uruchomić dowolny kod. CVSS v4: 9,3, najwięcej z całej trójki.

Co zmienia aktualizacja A

We wrześniowej wersji oba modele były podatne poniżej wersji 1.6.4, ze wszystkimi trzema lukami i tą samą poprawką. Potwierdza to plik CSAF, który CISA opublikowała wtedy w formie do odczytu maszynowego. Podsumowanie poprawionego komunikatu mówi:

  • Omni C20: podatne wersje poniżej 1.4.6, wszystkie trzy luki. Należy zaktualizować do 1.4.6 lub nowszej.
  • Omni X10 Pro: podatne wersje poniżej 3.1.36, tylko CVE-2026-93289 (wstrzykiwanie poleceń przy parowaniu). Należy zaktualizować do 3.1.36.

Poprawka nie jest do końca spójna: w szczegółowych sekcjach X10 Pro nadal figuruje jako podatny także na dwie pozostałe luki. Wersje z poprawkami są jednak w obu miejscach te same. Kto we wrześniu porównał wersję oprogramowania swojego robota z „1.6.4”, mógł dojść do błędnego wniosku.

Co powinni zrobić właściciele

Sprawdź wersję oprogramowania w aplikacji Eufy Clean i zaktualizuj ją, jeśli jest starsza niż 1.4.6 (C20) lub 3.1.36 (X10 Pro). Według CISA do agencji nie zgłoszono przypadków publicznego wykorzystania tych luk. Ogólne zalecenia agencji pochodzą z praktyki zabezpieczania systemów przemysłowych: urządzenie nie powinno być dostępne z internetu i powinno stać za zaporą. W domu oznacza to głównie dobrze zabezpieczony router i hasło do Wi-Fi. Luka przy parowaniu wymaga atakującego w pobliżu, a nie na drugim końcu świata.

Komunikat nie mówi, czy Eufy opublikował listę zmian w tych wersjach ani czy inne modele Omni mają ten sam kod.