Krytyczna luka OS command injection w Xiaomi smart speakerach (CVE-2026-72580)

Co wiadomo

Wykryto krytyczną lukę OS command injection w oprogramowaniu Xiaomi smart speakerów, umożliwiającą zdalne wykonanie dowolnych poleceń systemowych przez nieautoryzowanego atakującego. Luka dotyczy endpointów /mute i /unmute, które przekazują niezabezpieczony parametr silent do funkcji os.system().

Wpływ biznesowy

Luka o wysokim poziomie ryzyka (CVSS 9.8) pozwala na przejęcie kontroli nad urządzeniami Xiaomi smart speakerów, co może prowadzić do eskalacji ataku w sieci firmowej lub naruszenia prywatności. Operatorzy infrastruktury powinni traktować tę podatność jako krytyczną i priorytetowo zarządzać ryzykiem związanym z tymi urządzeniami.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji oprogramowania od producenta Xiaomi oraz ich wdrożenie. W międzyczasie ograniczyć dostęp do urządzeń z sieci zewnętrznych oraz monitorować logi pod kątem podejrzanych aktywności związanych z endpointami /mute i /unmute. Warto również zweryfikować konfigurację sieci i zastosować zasady minimalizacji ekspozycji. DataHouse oferuje wsparcie w zakresie weryfikacji wersji oprogramowania, zarządzania aktualizacjami oraz monitoringu bezpieczeństwa urządzeń IoT.

Źródła

• NVD
• Reference
• Reference