В Philips Hue Bridge Pro нашли сразу три уязвимости, две из которых открывают путь от обхода авторизации до выполнения кода с правами root. Zero Day Initiative раскрыла подробности 6 ноября. Угроза связана с самим контроллером умного освещения, а не с лампами, и требует сетевого доступа к устройству. Порт управления должен быть достижим из сети атакующего.
Ошибка CVE-2026-118632 находится в HTTP-сервисе, который по умолчанию принимает HTTPS-соединения через порт 443. Контроллер недостаточно проверяет строку перед включением в SQL-запрос. Через такую инъекцию атакующий способен выполнить произвольный код от имени root, получив максимальные права в системе. Zero Day Initiative оценила уязвимость в 8,0 балла CVSS.
Для SQL-инъекции обычно нужны права авторизованного пользователя, но отдельная ошибка CVE-2026-122044 позволяет обойти проверку входа без учётных данных. Проблема также затрагивает сервис на порту 443 и связана с некорректной работой защитного механизма. Оценка Zero Day Initiative составляет 8,8 балла CVSS, а доступ из соседней сети достаточен для попытки эксплуатации.
Третья уязвимость, CVE-2026-118631, затрагивает служебный компонент factory data на порту 5001. Ошибка обработки аргументов допускает изменение файлов с правами сервисной учётной записи. Но для атаки сначала нужно запустить код с ограниченными привилегиями внутри контейнера устройства. Поэтому оценка заметно ниже, всего 3,8 балла CVSS. Самостоятельного способа получить root здесь не описано.
Все три проблемы исправлены в прошивке Hue Bridge Pro 6.1.2071524030, выпущенной ещё 24 сентября, за шесть недель до публичного раскрытия. Тогда исправления отдельно не описали. В октябре производитель выпустил более новую версию 6.3.2071556020. Philips Hue рекомендует включить автоматические обновления в приложении, чтобы устройство получало исправления без ручной установки.
Новые бюллетени прямо называют только Hue Bridge Pro. Обычный Hue Bridge v2 получает отдельные прошивки, в том числе 6.1.1978418030 и 6.3.1978545030. Для трёх ноябрьских CVE не подтверждена уязвимость Bridge v2, а подключённые лампы и другие устройства Zigbee не названы носителями ошибок. Одинаковые первые цифры версий у двух контроллеров не означают одинакового состава уязвимостей.
Для Bridge Pro уже находили другую серьёзную проблему. В августе раскрыли CVE-2026-73669 в брокере Mosquitto MQTT, допускавшем подключения без пароля. Сетевой нарушитель мог читать данные устройства и управлять освещением. Ошибку устранили в версии 1.77.2071318010, а её оценка CVSS 3.1 составила 7,3 балла. Речь идёт о другой уязвимости с иным механизмом.
В октябре на турнире Pwn2Own Ireland 2026 команда VinSOC отдельно продемонстрировала взлом Bridge Pro с использованием семи уязвимостей. Связь той демонстрации с тремя нынешними CVE не установлена. Публичных подтверждений атак на реальные установки по новым ошибкам также нет. Под угрозой остаются контроллеры со старой прошивкой и доступным уязвимым сервисом.
