Um shell root em uma TV Samsung prova que sua sala é um PC sem atualização

Você deixaria um computador Linux conectado à rede na sala e nunca pensaria em atualizá-lo por dez anos? É mais ou menos isso que a maioria de nós faz com a smart TV.

O gatilho é um repositório no GitHub cujo autor diz ter criado exploits root funcionais para duas TVs Samsung que possui: uma QN90B comprada em 2022 e uma QN90F comprada em julho de 2026. Ele os usa para remapear o controle remoto e controlar o computador de mesa. Segundo o autor, o modelo mais antigo levou cerca de um dia com o Codex em março de 2026, e o mais novo cerca de três horas com uma versão mais recente do Codex. O repositório diz que a cadeia começa em uma injeção por nome de pacote, registrada como SVE-2025-50109, e que os resultados valem apenas para modelos e firmwares específicos, ou seja, nem toda TV Samsung é afetada.

O assustador não é o hack, é o relógio

Primeiro, vamos ser justos. Este é um projeto de um dono do aparelho, e o ponto de entrada envolve as ferramentas de desenvolvimento da Samsung. A Bishop Fox analisou uma falha de injeção de comandos no serviço Samsung Debug Bridge e descreveu o risco direto como mínimo: era preciso ter o modo desenvolvedor ativado e um invasor no IP do host configurado. Ninguém vai fazer root na sua TV de outro continente por causa disso.

Mas olhe a tendência. Em abril, pesquisadores da Calif descreveram como o Codex, partindo de um shell dentro do aplicativo de navegador da TV, chegou ao root. Ele encontrou nós de dispositivo com permissão de escrita para todos, um dos quais permitia ao espaço do usuário mapear memória física bruta, e então reescreveu as credenciais do processo do navegador. Os pesquisadores dizem que não deram a ele nenhum bug nem receita, embora humanos tenham precisado redirecioná-lo às vezes. Em nossa opinião, essa é a verdadeira notícia: o custo de encontrar esse tipo de falha está caindo rápido, enquanto a TV na sua estante fica congelada no tempo.

E as falhas não são sutis. Uma interface do kernel que entrega memória física a qualquer processo é um erro de projeto, não um bug exótico. A TV dessa pesquisa rodava um kernel Linux 4.1.10. Não sabemos quantos aparelhos assim existem, mas as TVs costumam estar entre os computadores mais duradouros de uma casa.

Os fabricantes de celulares aprenderam a lição; os de TVs estão atrasados

Com os celulares existe um contrato razoavelmente conhecido: patches mensais, trimestrais ou semestrais e, como observa a eSecurityPlanet, celulares Samsung mais antigos podem passar a receber atualizações menos frequentes com o tempo. Pode não agradar, mas você sabe como funciona.

As TVs só recentemente ganharam algo parecido. Segundo a página de atualizações de segurança do samsungtvbounty.com, smart TVs e monitores lançados a partir de janeiro de 2023 recebem atualizações de segurança por 7 anos a partir do lançamento inicial. É um compromisso real, e o mérito é da Samsung. Mas veja o que isso implica: a QN90B desta história, comprada em 2022, fica fora dessa promessa. O aparelho que sofreu root em cerca de um dia é uma compra de 2022.

Também não podemos dizer, pela documentação, com que rapidez cada uma dessas falhas é corrigida em um aparelho específico. Essa opacidade é parte do problema.

O que deveria acontecer

Nossa posição é simples. Os compromissos de atualização das TVs deveriam ser tratados como os dos celulares: um mínimo garantido, informado no ato da venda, com a data final visível. Um tópico de fórum do fim de 2023 observava que a Samsung tinha então o maior período de suporte, de 5 anos, e que uma exigência legal para dispositivos inteligentes chegaria em abril de 2024. Não conseguimos verificar os detalhes dessa regra com nossas fontes, então trate-a como uma pista, não como um fato. Ainda assim, a direção está certa: a regulação, e não a boa vontade, é o que deveria fazer de uma promessa de 7 anos o piso, e não a exceção.

Conselhos práticos para os leitores:

• Mantenha as atualizações automáticas ativadas e verifique o período de suporte do modelo antes de comprar.
• Não ative o modo desenvolvedor se não precisar e nunca o deixe ligado em espaços compartilhados. A Bishop Fox recomenda o modo quiosque para TVs públicas.
• Coloque a TV em uma rede de convidados ou separada, se o roteador permitir.

A sala virou uma sala de servidores que ninguém administra. Hoje, um shell root em uma TV é um hobby. A indústria não deveria esperar que isso vire outra coisa para tratar a tela como o computador que ela é.