Una shell root en un televisor Samsung demuestra que tu salón es un ordenador sin parchear

¿Dejarías en el salón un ordenador Linux conectado a la red y te olvidarías de actualizarlo durante diez años? Más o menos eso es lo que hacemos casi todos con nuestras smart TV.

El detonante es un repositorio de GitHub cuyo autor asegura haber creado exploits root funcionales para dos televisores Samsung que posee: un QN90B comprado en 2022 y un QN90F comprado en julio de 2026. Los usa para reasignar el mando a distancia y controlar su ordenador de sobremesa. Según el autor, con el modelo antiguo tardó aproximadamente un día con Codex en marzo de 2026, y con el nuevo unas tres horas con una versión más reciente de Codex. El repositorio indica que la cadena parte de una inyección en el nombre de un paquete, registrada como SVE-2025-50109, y que los resultados solo valen para modelos y firmware exactos, así que no todos los televisores Samsung están afectados.

Lo inquietante no es el hackeo, sino el reloj

Primero, seamos justos. Es un proyecto de un propietario y el punto de entrada pasa por las herramientas de desarrollo de Samsung. Bishop Fox analizó un fallo de inyección de comandos en el servicio Samsung Debug Bridge y describió el riesgo directo como mínimo: requería tener activado el modo desarrollador y un atacante en la IP del host configurado. Nadie va a acceder como root a tu televisor desde otro continente por esto.

Pero fíjate en la tendencia. En abril, investigadores de Calif describieron cómo Codex, partiendo de una shell dentro de la aplicación de navegador del televisor, escaló hasta root. Encontró nodos de dispositivo con permisos de escritura para todos, uno de los cuales permitía al espacio de usuario mapear memoria física en bruto, y después reescribió las credenciales del proceso del navegador. Los investigadores afirman que no le dieron ningún fallo ni receta, aunque en ocasiones los humanos tuvieron que reorientarlo. En nuestra opinión, esa es la verdadera noticia: el coste de encontrar este tipo de fallos cae rápido, mientras que el televisor de tu estantería se queda congelado en el tiempo.

Y los fallos no son sutiles. Una interfaz del kernel que entrega memoria física a cualquier proceso es un error de diseño, no un bug exótico. El televisor de esa investigación usaba un kernel Linux 4.1.10. No sabemos cuántos aparatos así hay por ahí, pero los televisores suelen estar entre los ordenadores más longevos de un hogar.

Los fabricantes de móviles aprendieron la lección; los de televisores llegan tarde

Con los móviles hay un contrato razonablemente entendido: parches mensuales, trimestrales o semestrales y, como señala eSecurityPlanet, los móviles Samsung más antiguos pueden pasar a recibir actualizaciones menos frecuentes con la edad. Puede que no te guste, pero sabes a qué atenerte.

En los televisores apenas acaba de aparecer algo parecido. Según la página de actualizaciones de seguridad de samsungtvbounty.com, los televisores inteligentes y monitores lanzados desde enero de 2023 reciben actualizaciones de seguridad durante 7 años desde su lanzamiento inicial. Es un compromiso real y hay que reconocérselo. Pero fíjate en lo que implica: el QN90B de esta historia, comprado en 2022, queda fuera de esa promesa. El aparato al que se accedió como root en aproximadamente un día es una compra de 2022.

Tampoco podemos decirte, con la documentación en la mano, con qué rapidez se corrige cada uno de estos fallos en un modelo concreto. Esa opacidad forma parte del problema.

Qué debería pasar

Nuestra postura es sencilla. Los compromisos de actualización de los televisores deberían tratarse como los de los móviles: un mínimo garantizado, indicado en el momento de la compra y con la fecha de fin visible. Un hilo de un foro de finales de 2023 señalaba que Samsung ofrecía entonces el soporte más largo, de 5 años, y que en abril de 2024 llegaría una exigencia legal para los dispositivos inteligentes. No podemos verificar los detalles de esa norma con nuestras fuentes, así que tómalo como una pista, no como un hecho. Aun así, la dirección es correcta: la regulación, y no la buena voluntad, es lo que debería convertir una promesa de 7 años en el mínimo y no en la excepción.

Consejos prácticos para los lectores:

• Mantén activadas las actualizaciones automáticas y comprueba el periodo de soporte del modelo antes de comprarlo.
• No actives el modo desarrollador si no lo necesitas y no lo dejes nunca activo en espacios compartidos. Bishop Fox recomienda el modo kiosco para televisores públicos.
• Conecta el televisor a una red de invitados o separada si tu router lo permite.

El salón se ha convertido en una sala de servidores que nadie administra. Hoy, una shell root en un televisor es un pasatiempo. La industria no debería esperar a que se convierta en otra cosa para tratar la pantalla como el ordenador que es.