Amerykańska baza podatności NVD opublikowała 28 października 2026 wpis CVE-2026-59177. Dotyczy on ESPHome Device Builder, czyli panelu, na którym działa dodatek ESPHome do Home Assistanta. Przez ten błąd dowolne urządzenie w sieci lokalnej mogło otworzyć panel bez żadnego logowania. Sama luka nie jest nowa. ESPHome naprawił ją w czerwcu, a 20 czerwca opublikował ostrzeżenie GHSA-vv4j-m4vr-f3g6. Nowy wpis CVE to jednak dobry pretekst, żeby sprawdzić, czy gdzieś nie działa jeszcze stara instalacja.

Co poszło nie tak

Gdy panel działa jako dodatek Home Assistanta, udostępnia stronę dla mechanizmu Ingress, która celowo pomija uwierzytelnianie. Pośrednik Ingress w Supervisorze już sprawdził, kim jest użytkownik, więc panel ufa żądaniom, które przez niego przechodzą. To ma sens tylko wtedy, gdy do tej strony dociera wyłącznie Supervisor.

Tak jednak nie było. Strona nasłuchiwała na adresie 0.0.0.0, a dodatek korzysta bezpośrednio z sieci komputera, na którym działa, żeby działało wykrywanie przez mDNS. W efekcie strona była dostępna także pod adresem Home Assistanta w sieci lokalnej. Każdy w tej sieci mógł wpisać http://<ha-ip>:<ingress_port>/ i dostawał pełny panel. Nie trzeba było niczego źle skonfigurować: według ostrzeżenia luka była domyślnie otwarta w każdej instalacji dodatku korzystającej z tego trybu sieci.

Skąd ocena 8,8

Model zagrożeń ESPHome traktuje dostęp do panelu jak dostęp do całego komputera, na którym działa. Z poziomu panelu można przy kompilacji uruchomić dowolny kod w Pythonie przez external_components:, wykonać polecenia powłoki w krokach kompilacji i sprawdzania konfiguracji oraz czytać i zapisywać pliki w katalogach konfiguracji i danych. Ostrzeżenie mówi wprost: oznacza to pełne przejęcie dodatku, razem z podłączonym do niego katalogiem konfiguracji Home Assistanta i urządzeniami ESPHome, którymi zarządza.

Ocena CVSS 3.1 wynosi 8,8, a wektor ataku to sieć sąsiednia: atakujący musi być w sieci lokalnej, nie wystarczy mu internet. Ostrzeżenie wymienia realne drogi wejścia: nieodizolowaną sieć dla gości, niezaufane urządzenie IoT albo przejęty komputer w sieci domowej.

Błąd nie dotyczy samodzielnego panelu w Dockerze ani portu 6052 chronionego hasłem.

Poprawka i co sprawdzić

Device Builder 1.0.10, wydany 18 czerwca, udostępnia stronę Ingress tylko na pętli zwrotnej (127.0.0.1) i na bramie Supervisora (172.30.32.1). Dodatkowa blokada zwraca kod 403 każdemu połączeniu, które nie przychodzi z pętli zwrotnej ani od Supervisora (172.30.32.2), więc nie skorzystają z niej też inne dodatki w sieci wewnętrznej. ESPHome 2026.6.1, wydany tego samego dnia, zawiera tę wersję, a kolejne wydania mają nowsze.

  • Sprawdź, jaką wersję dodatku ESPHome pokazuje Home Assistant. Od 2026.6.1 wzwyż poprawka jest na miejscu.
  • Jeśli nie możesz od razu zaktualizować, zablokuj port Ingress dodatku zaporą na serwerze albo routerze tak, żeby docierały do niego tylko Home Assistant i Supervisor. Panel otwierany zwykłą drogą, z paska bocznego Home Assistanta, nadal wymaga logowania.
  • Nie trzymaj serwera z Home Assistantem w sieci dla gości ani w sieci urządzeń IoT, którym nie ufasz.

Większość regularnie aktualizowanych instalacji ma poprawkę od ponad czterech miesięcy. Ryzyko dotyczy zapomnianych systemów, na przykład komputera testowego albo serwera, na którym w czerwcu wstrzymano aktualizacje.