Критична вразливість ін’єкції команд ОС у Xiaomi smart speakers (CVE-2026-72580)

Що відомо

Виявлено критичну вразливість ін’єкції команд ОС у Xiaomi smart speakers через необроблений параметр silent у /mute та /unmute API, що дозволяє віддаленому зловмиснику виконувати довільні системні команди. Проблема виникає через передачу параметра без санітизації до os.system().

Бізнес-вплив

Ця вразливість може призвести до повного контролю над уразливим пристроєм, що ставить під загрозу конфіденційність та безпеку користувачів. Для організацій, які використовують такі пристрої, це створює ризик несанкціонованого доступу та потенційного порушення роботи мережі. Важливо оперативно оцінити наявність пристроїв із вразливим програмним забезпеченням та вжити заходів для зниження ризиків.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень від виробника Xiaomi та застосувати їх у разі доступності. Якщо оновлення відсутні, слід обмежити мережевий доступ до уразливих пристроїв та ретельно аналізувати журнали подій на предмет підозрілої активності. Також варто розглянути тимчасове відключення функцій, що використовують уразливі API. Для додаткової підтримки рекомендуємо звернутися до DataHouse для перевірки версій ПЗ, управління патчами та моніторингу безпеки.

Джерела

• NVD
• Reference
• Reference