Smart TVs da LG podem ser invadidas pela rede Wi-Fi sem senha ou autorização do usuário
Três vulnerabilidades no webOS, sistema operacional das Smart TVs da LG, podem ser exploradas em conjunto para permitir que invasores obtenham acesso root a determinados modelos de televisores. O ataque pode ser realizado pela rede local, sem necessidade de PIN, autenticação prévia ou qualquer interação do proprietário.
A LG disponibilizou uma correção para as falhas, conforme comunicado publicado pela SSD Secure Disclosure em 12 de outubro de 2026.
A cadeia de exploração foi testada nos modelos LG 32LQ636BPSA e 27TQ600SW, equipados com webOS 7.5.7-25 e firmware 04.54.40. Ainda não há confirmação sobre a existência das vulnerabilidades em outros modelos ou versões do sistema.
Os proprietários dos dispositivos afetados devem verificar a disponibilidade de atualizações de firmware. Até o momento, não foi divulgada uma solução alternativa para os equipamentos que ainda não puderem receber a correção.
Como funciona a cadeia de ataque
O ataque começa por um serviço exposto na porta 3001 da televisão, utilizado pelo aplicativo LG ThinQ durante o processo de pareamento.
O invasor reutiliza um manifesto do aplicativo interno sync-demo, já presente no dispositivo e assinado com um certificado de teste considerado confiável pelo firmware. Uma permissão contida nesse manifesto faz com que o serviço de pareamento ignore a solicitação do PIN e forneça uma chave privilegiada.
Com essa chave, o atacante consegue iniciar outro aplicativo integrado ao sistema, chamado cmp-client, direcionando-o para uma página controlada pelo próprio invasor.
O problema ocorre porque o aplicativo não valida o destino da navegação. Dessa forma, a página carregada mantém acesso ao PalmServiceBridge, uma interface interna responsável pela comunicação com serviços do sistema operacional.
Por meio dessa interface, o invasor consegue acessar o serviço de registro de eventos pmlogd e inserir comandos de shell em um campo de entrada que não realiza a validação adequada.
Como o pmlogd é executado com privilégios de root, os comandos injetados também são executados com esse nível de permissão, concedendo ao atacante controle privilegiado sobre o sistema da televisão.
Histórico de vulnerabilidades no webOS
Esta não é a primeira vez que serviços acessíveis pela rede local permitem obter privilégios elevados em Smart TVs da LG.
Em 2024, a Bitdefender divulgou outro conjunto de vulnerabilidades no webOS que possibilitava acesso não autenticado pela rede. As falhas afetavam componentes diferentes e foram corrigidas em março daquele ano.
Outra cadeia de exploração foi demonstrada durante o TyphoonPWN 2025, utilizando uma vulnerabilidade de travessia de diretórios (path traversal) em uma porta diferente.
A nova cadeia foi apresentada por um pesquisador anônimo durante o TyphoonPWN 2026, realizado em maio, em Seul, na Coreia do Sul. A descoberta conquistou o terceiro lugar na categoria LG webOS da competição.
Até o momento, as três vulnerabilidades não receberam identificadores CVE, e não existem relatos de exploração ativa em ataques reais.
Embora a exploração dependa de acesso à mesma rede local da televisão, a possibilidade de executar comandos com privilégios de root representa um risco para dispositivos vulneráveis que permaneçam sem atualização.
