Root-Shell auf einem Samsung-Fernseher: Das Wohnzimmer ist ein ungepatchter PC

Würden Sie einen vernetzten Linux-Rechner im Wohnzimmer aufstellen und zehn Jahre lang nicht daran denken, ihn zu aktualisieren? Genau das tun die meisten von uns mit ihrem Smart-TV – mehr oder weniger.

Anlass ist ein GitHub-Repository, dessen Autor angibt, funktionierende Root-Exploits für zwei eigene Samsung-Fernseher gebaut zu haben: ein 2022 gekauftes QN90B und ein im Juli 2026 gekauftes QN90F. Er nutzt sie, um die Fernbedienung umzubelegen und seinen Desktop-Rechner zu steuern. Nach Angaben des Autors dauerte es beim älteren Gerät im März 2026 etwa einen Tag mit Codex, beim neueren etwa drei Stunden mit einer neueren Codex-Version. Laut Repository beginnt die Kette mit einer Paketnamen-Injection mit der Kennung SVE-2025-50109, und die Ergebnisse gelten nur für genau bestimmte Modelle und Firmware-Stände – nicht jeder Samsung-Fernseher ist also betroffen.

Beunruhigend ist nicht der Hack, sondern die Uhr

Zunächst zur Fairness: Es handelt sich um ein Projekt eines Besitzers, und der Einstiegspunkt führt über Samsungs Entwicklerwerkzeuge. Bishop Fox hat eine Command-Injection-Schwachstelle im Dienst Samsung Debug Bridge analysiert und das direkte Risiko als minimal beschrieben: Nötig seien ein aktivierter Entwicklermodus und ein Angreifer an der konfigurierten Host-IP. Niemand übernimmt deshalb von einem anderen Kontinent aus Ihren Fernseher.

Aber man sollte auf den Trend schauen. Im April beschrieben Forscher von Calif, wie Codex ausgehend von einer Shell in der Browser-App des Fernsehers Root-Rechte erlangte. Das System fand für alle beschreibbare Gerätedateien, von denen eine es dem Userspace erlaubte, rohen physischen Speicher abzubilden, und überschrieb anschließend die Anmeldedaten des Browser-Prozesses. Die Forscher sagen, sie hätten ihm weder eine Schwachstelle noch eine Anleitung gegeben, wobei Menschen es gelegentlich umlenken mussten. Das ist aus unserer Sicht die eigentliche Nachricht: Die Kosten, solche Lücken zu finden, sinken rasch, während der Fernseher im Regal in der Zeit eingefroren bleibt.

Die Lücken sind auch nicht subtil. Eine Kernel-Schnittstelle, die jedem Prozess physischen Speicher herausgibt, ist ein Konstruktionsfehler und kein exotischer Bug. Der Fernseher in jener Untersuchung lief mit einem Linux-Kernel 4.1.10. Wie viele solcher Geräte im Umlauf sind, können wir nicht sagen, doch Fernseher zählen meist zu den langlebigsten Computern im Haushalt.

Smartphone-Hersteller haben gelernt, TV-Hersteller sind spät dran

Bei Smartphones gibt es einen halbwegs verstandenen Vertrag: monatliche, vierteljährliche oder halbjährliche Patches, und wie eSecurityPlanet anmerkt, werden ältere Samsung-Smartphones mit zunehmendem Alter womöglich seltener aktualisiert. Das mag man nicht mögen, aber man kennt die Spielregeln.

Bei Fernsehern gibt es erst seit Kurzem etwas Vergleichbares. Laut der Seite zu Sicherheitsupdates auf samsungtvbounty.com werden Smart-TV- und Monitor-Produkte, die ab Januar 2023 auf den Markt kamen, ab Markteinführung 7 Jahre lang mit Sicherheitsupdates versorgt. Das ist eine echte Zusage, und die verdient Anerkennung. Doch man beachte, was daraus folgt: Das QN90B in dieser Geschichte, 2022 gekauft, fällt nicht darunter. Das Gerät, das in etwa einem Tag gerootet wurde, ist ein Kauf von 2022.

Aus der Dokumentation können wir auch nicht ablesen, wie schnell einzelne dieser Lücken bei einem bestimmten Gerät geschlossen werden. Diese Intransparenz ist Teil des Problems.

Was geschehen sollte

Unsere Position ist einfach. Update-Zusagen für Fernseher sollten wie die für Smartphones behandelt werden: ein garantierter Mindestzeitraum, beim Kauf genannt, mit sichtbarem Enddatum. In einem Forenbeitrag von Ende 2023 hieß es, Samsung biete mit 5 Jahren damals den längsten Support, und im April 2024 komme eine gesetzliche Vorgabe für smarte Geräte. Die Einzelheiten dieser Regel können wir mit unseren Quellen nicht überprüfen; sie ist also ein Hinweis, keine Tatsache. Die Richtung stimmt dennoch: Regulierung, nicht Goodwill, sollte eine 7-Jahres-Zusage zur Untergrenze statt zur Ausnahme machen.

Praktische Hinweise für Leserinnen und Leser:

• Automatische Updates eingeschaltet lassen und vor dem Kauf den Support-Zeitraum des Modells prüfen.
• Den Entwicklermodus nur aktivieren, wenn er gebraucht wird, und ihn in gemeinsam genutzten Räumen nie eingeschaltet lassen. Bishop Fox empfiehlt den Kiosk-Modus für öffentliche Fernseher.
• Den Fernseher in ein Gast- oder separates Netzwerk legen, falls der Router das erlaubt.

Das Wohnzimmer ist zum Serverraum geworden, den niemand administriert. Eine Root-Shell auf einem Fernseher ist heute ein Hobby. Die Branche sollte nicht warten, bis daraus etwas anderes wird, um den Bildschirm als den Computer zu behandeln, der er ist.