כשמחברים את אפליקציית LG ThinQ לטלוויזיה, מופיע על המסך קוד קצר שצריך להקליד בטלפון. הקוד הזה הוא כל מה שעומד בין מישהו שמחובר לאותה רשת Wi-Fi לבין הטלוויזיה שבסלון. חוקר אבטחה אנונימי הראה איך לדלג עליו לגמרי, ומשם להגיע להרשאות הגבוהות ביותר במערכת ההפעלה של המכשיר.

מה קרה

ב-12 באוקטובר פרסמה SSD Secure Disclosure שרשרת של שלוש חולשות ב-webOS, מערכת ההפעלה של הטלוויזיות החכמות של LG. הטלוויזיה מאזינה ברשת הביתית בפורט 3001, ושם מתבצע הזיווג עם אפליקציית ThinQ. בתוך המכשיר מותקנת מראש אפליקציית הדגמה, ולקובץ ההרשאות שלה יש חתימה של LG. החוקר שלח את אותו קובץ חתום שוב, שירות הזיווג סמך על החתימה והלך למסלול פנימי שמדלג על הצגת הקוד, ובסופו נמסר לו מפתח גישה מורשה.

עם המפתח הזה הוא הפעיל אפליקציה אחרת שמותקנת מראש והפנה אותה לעמוד ווב בשליטתו. האפליקציה לא בדקה לאן היא נשלחת, והעמוד שנטען שמר על הגישה שלה לממשק הפנימי שמדבר עם שירותי המערכת של הטלוויזיה. דרך הממשק הזה הגיע החוקר לשירות שאוסף את יומני המערכת, ששותל את שם תיקיית היעד שהוא מקבל לתוך פקודת מערכת בלי לסנן אותו. השירות רץ בהרשאות root, החשבון שיכול לעשות במכשיר הכול, ולכן גם הפקודה שהוזרקה רצה כ-root.

השרשרת הודגמה על שני דגמים, LG 32LQ636BPSA ו-27TQ600SW, עם webOS בגרסה 7.5.7-25 וקושחה 04.54.40. אם דגמים או גרסאות קושחה אחרים חשופים גם הם, זה לא פורסם. LG כבר הוציאה תיקון, לחולשות לא הוקצה מספר CVE, ולא דווח על ניצול שלהן בשטח. את השרשרת בנה חוקר עצמאי שזכה במקום השלישי בקטגוריית webOS בתחרות TyphoonPWN 2026 שהתקיימה בסיאול במאי.

למה זה חשוב לכם

קודם כול, מה התוקף צריך: להיות על אותה רשת. זה לא מישהו מהאינטרנט אלא מי שכבר נמצא בתוך הבית הדיגיטלי, בין שזה אורח שקיבל את הסיסמה פעם אחת, שכן שהרשת פתוחה אליו, או מכשיר אחר בבית שכבר נדבק ומשמש בסיס להמשך, נתב או מצלמה.

טלוויזיות LG נמצאות בהמון סלונים בישראל, ושליטה מלאה עליהן שווה יותר ממה שזה נשמע. המכשיר מחובר לרשת הביתית מבפנים, ולכן הוא נקודת זינוק נוחה לסריקה של שאר המכשירים בבית, וגם חשבונות שירותי השידור שמחוברים אליו נגישים למי שמחזיק את ההרשאות. טלוויזיה היא מחשב, גם כשהיא תלויה על הקיר.

מה עושים?

בדקו עדכון תוכנה בטלוויזיה עצמה. בתפריט ההגדרות, במדור התמיכה, יש פריט של עדכון תוכנה שמריץ בדיקה מול השרתים של LG, והפעילו שם גם את העדכון האוטומטי.

אם אין עדכון זמין לדגם שלכם, החוקרים לא פרסמו שום הגדרה חלופית שחוסמת את המתקפה. מה שכן בידיים שלכם זה מי נמצא ברשת: החליפו את סיסמת ה-Wi-Fi, וחברו אורחים לרשת האורחים של הנתב במקום לרשת הראשית.

התנתקו בטלוויזיה מחשבונות שאתם לא משתמשים בהם. חשבון שלא מחובר הוא חשבון שאין מה לקחת ממנו.

לטלוויזיה בסלון אין אייקון מהבהב בפינת המסך שמזכיר שמחכה לה תיקון, והיא גם לא תספר לכם את זה מעצמה. בפעם הבאה שאתם מחפשים מה לראות, זה שווה שתי דקות בתפריט.