Inyección SQL en el puente de Philips permitió a un hacker obtener acceso root en un hogar inteligente

Se encontraron tres vulnerabilidades en Philips Hue Bridge Pro, dos de las cuales permiten desde eludir la autenticación hasta ejecutar código con privilegios de root. Zero Day Initiative publicó los detalles el 6 de noviembre. La amenaza está relacionada con el propio controlador de iluminación inteligente, no con las lámparas, y requiere acceso de red al dispositivo. El puerto de gestión debe ser accesible desde la red del atacante.

La vulnerabilidad CVE-2026-118632 se encuentra en el servicio HTTP, que por defecto acepta conexiones HTTPS a través del puerto 443. El controlador no valida suficientemente la cadena antes de incluirla en una consulta SQL. Mediante dicha inyección, un atacante puede ejecutar código arbitrario con identidad de root, obteniendo los máximos privilegios en el sistema. Zero Day Initiative evaluó la vulnerabilidad con 8,0 puntos CVSS.

Para una inyección SQL normalmente se requieren credenciales de usuario autorizadas, pero otra vulnerabilidad CVE-2026-122044 permite eludir la verificación de acceso sin credenciales. El problema también afecta al servicio en el puerto 443 y está relacionado con un fallo en el mecanismo de protección. Zero Day Initiative le asignó 8,8 puntos CVSS, y el acceso desde una red adyacente es suficiente para intentar su explotación.

La tercera vulnerabilidad, CVE-2026-118631, afecta al componente de servicio factory data en el puerto 5001. Un error en el manejo de argumentos permite modificar archivos con los permisos de la cuenta de servicio. Pero para el ataque es necesario primero ejecutar código con privilegios limitados dentro del contenedor del dispositivo. Por eso la puntuación es mucho menor, solo 3,8 puntos CVSS. No se describe ningún método independiente para obtener root.

Las tres fallas se corrigieron en el firmware Hue Bridge Pro 6.1.2071524030, publicado el 24 de septiembre, seis semanas antes de la divulgación pública. En ese momento no describieron las correcciones por separado. En octubre el fabricante lanzó una versión más reciente, 6.3.2071556020. Philips Hue recomienda activar las actualizaciones automáticas en la aplicación para que el dispositivo reciba las correcciones sin instalación manual.

Los nuevos boletines mencionan explícitamente solo Hue Bridge Pro. El Hue Bridge v2 habitual recibe firmware separados, incluidos 6.1.1978418030 y 6.3.1978545030. No se ha confirmado que Bridge v2 sea vulnerable a las tres CVE de noviembre, y las bombillas conectadas u otros dispositivos Zigbee no se identifican como vectores de las fallas. Que las versiones de ambos controladores compartan las mismas cifras iniciales no implica que las vulnerabilidades sean idénticas.

Ya se había encontrado otra vulnerabilidad grave en Bridge Pro. En agosto se divulgó CVE-2026-73669 en el broker Mosquitto MQTT, que permitía conexiones sin contraseña. Un atacante en la red podía leer los datos del dispositivo y controlar la iluminación. La falla se corrigió en la versión 1.77.2071318010, y su puntuación CVSS 3.1 fue de 7,3 puntos. Se trata de otra vulnerabilidad con un mecanismo distinto.

En octubre, en el torneo Pwn2Own Ireland 2026, el equipo VinSOC demostró por separado la explotación de Bridge Pro utilizando siete vulnerabilidades. No se ha establecido relación entre esa demostración y las tres CVE actuales. Tampoco hay confirmaciones públicas de ataques contra instalaciones reales por estas nuevas fallas. Siguen en riesgo los controladores con firmware antiguo y con el servicio vulnerable accesible.