Una shell root su una TV Samsung dimostra che il tuo salotto è un PC senza patch

Lasceresti in salotto un computer Linux connesso alla rete senza pensare ad aggiornarlo per dieci anni? Più o meno è quello che facciamo quasi tutti con le nostre smart TV.

La scintilla è un repository GitHub il cui autore dice di aver realizzato exploit root funzionanti per due TV Samsung di sua proprietà: un QN90B acquistato nel 2022 e un QN90F acquistato a luglio 2026. Li usa per rimappare il telecomando e controllare il computer desktop. Secondo l'autore, per il modello più vecchio è servito circa un giorno con Codex a marzo 2026, per il più recente circa tre ore con una versione più nuova di Codex. Il repository indica che la catena parte da una injection nel nome di un pacchetto, tracciata come SVE-2025-50109, e che i risultati valgono solo per modelli e firmware precisi, quindi non tutte le TV Samsung sono coinvolte.

Il fatto inquietante non è l'hack, è l'orologio

Prima di tutto, siamo onesti. È un progetto di un proprietario, e il punto d'ingresso passa dagli strumenti di sviluppo di Samsung. Bishop Fox ha analizzato una falla di command injection nel servizio Samsung Debug Bridge e ha descritto il rischio diretto come minimo: servivano la modalità sviluppatore attiva e un attaccante all'indirizzo IP dell'host configurato. Nessuno prenderà il controllo root della tua TV da un altro continente per questo.

Ma guarda la tendenza. Ad aprile i ricercatori di Calif hanno descritto come Codex, partendo da una shell dentro l'app browser della TV, sia arrivato a root. Ha trovato nodi di dispositivo scrivibili da tutti, uno dei quali permetteva allo user space di mappare la memoria fisica grezza, e poi ha riscritto le credenziali del processo del browser. I ricercatori dicono di non avergli fornito alcun bug né istruzioni, anche se a volte gli esseri umani hanno dovuto reindirizzarlo. A nostro avviso questa è la vera notizia: il costo di trovare falle di questo tipo sta calando in fretta, mentre la TV sul tuo mobile resta congelata nel tempo.

E le falle non sono sottili. Un'interfaccia del kernel che consegna memoria fisica a qualsiasi processo è un errore di progettazione, non un bug esotico. La TV di quella ricerca usava un kernel Linux 4.1.10. Non sappiamo quanti apparecchi simili esistano, ma le TV tendono a essere tra i computer più longevi di una casa.

I produttori di smartphone hanno imparato la lezione; quelli di TV sono in ritardo

Per gli smartphone esiste un patto abbastanza chiaro: patch mensili, trimestrali o semestrali e, come osserva eSecurityPlanet, gli smartphone Samsung più vecchi possono passare ad aggiornamenti meno frequenti con l'età. Può non piacere, ma si sa come funziona.

Per le TV qualcosa di simile è arrivato solo da poco. Secondo la pagina degli aggiornamenti di sicurezza su samsungtvbounty.com, le smart TV e i monitor lanciati da gennaio 2023 ricevono aggiornamenti di sicurezza per 7 anni dal lancio iniziale. È un impegno concreto, e va riconosciuto. Ma nota cosa implica: il QN90B di questa storia, acquistato nel 2022, resta fuori da quella promessa. L'apparecchio su cui si è ottenuto root in circa un giorno è un acquisto del 2022.

Dalla documentazione non possiamo nemmeno dirti con quale rapidità ciascuna di queste falle venga corretta su un dato modello. Questa opacità fa parte del problema.

Cosa dovrebbe succedere

La nostra posizione è semplice. Gli impegni di aggiornamento per le TV dovrebbero essere trattati come quelli per gli smartphone: un minimo garantito, indicato al momento dell'acquisto, con la data di fine ben visibile. Un thread di un forum della fine del 2023 notava che Samsung offriva allora il supporto più lungo, 5 anni, e che ad aprile 2024 sarebbe arrivato un obbligo di legge per i dispositivi smart. Non possiamo verificare i dettagli di quella norma con le nostre fonti, quindi consideralo uno spunto, non un fatto. Eppure la direzione è giusta: è la regolamentazione, non la buona volontà, a dover fare di una promessa di 7 anni la soglia minima e non l'eccezione.

Consigli pratici:

• Tieni attivi gli aggiornamenti automatici e controlla il periodo di supporto del modello prima di acquistare.
• Non attivare la modalità sviluppatore se non ti serve e non lasciarla mai attiva in spazi condivisi. Bishop Fox consiglia la modalità kiosk per le TV pubbliche.
• Collega la TV a una rete ospiti o separata, se il router lo consente.

Il salotto è diventato una sala server che nessuno amministra. Oggi una shell root su una TV è un hobby. Il settore non dovrebbe aspettare che diventi qualcos'altro per trattare lo schermo come il computer che è.