LG webOS
Falha em televisores LG dá controlo total a quem estiver na mesma rede: a LG já tem correção
Três vulnerabilidades no sistema webOS, encadeadas, dão a um atacante ligado à mesma rede acesso total ao televisor, sem PIN e sem que o dono faça nada. A falha foi demonstrada num concurso em Seul e a LG já distribuiu uma correção. O que resta é confirmar que o teu televisor a recebeu.
Um televisor LG ligado à rede de casa podia ser controlado por completo por outro aparelho na mesma rede, sem pedir PIN e sem que o dono tocasse no comando. A falha foi revelada a 12 de outubro pela SSD Secure Disclosure, que publicou os detalhes técnicos, e noticiada no dia seguinte pelo The Hacker News. A LG já lançou uma correção, segundo a SSD.
Como funciona o ataque
O problema junta três falhas do webOS, o sistema operativo dos televisores inteligentes da LG. A porta de entrada é o serviço que o televisor deixa aberto na rede para emparelhar com a aplicação LG ThinQ no telemóvel. O atacante reaproveita um ficheiro de configuração de uma aplicação de demonstração que vem instalada no próprio televisor, assinado com um certificado de teste em que o sistema confia. Esse ficheiro faz o televisor saltar o pedido de PIN e entregar uma chave com permissões elevadas.
Com essa chave, o atacante abre outra aplicação interna e manda-a carregar uma página controlada por ele, que fica com acesso aos serviços do sistema. O último passo passa pelo serviço de registos do televisor, que corre com privilégios máximos e não filtra os comandos que recebe. O resultado é acesso root, ou seja, controlo total do aparelho.
A cadeia foi demonstrada por um investigador anónimo que ficou em terceiro lugar na categoria LG webOS do TyphoonPWN 2026, um concurso de pirataria informática realizado em Seul, em maio. Foi testada em dois modelos, o 32LQ636BPSA e o 27TQ600SW, com o webOS 7.5.7-25 e o firmware 04.54.40. Não se sabe se outros modelos ou versões são afetados, não foram atribuídos identificadores CVE e não há registo de ataques reais. O The Hacker News lembra que não é a primeira vez: em 2024, a Bitdefender revelou outras falhas no webOS que também permitiam entrar pela rede e que foram corrigidas em março desse ano.
O que deves fazer
Como o atacante tem de estar na mesma rede, o risco depende de alguém, ou de algum aparelho já comprometido, conseguir entrar na tua. Segundo o The Hacker News, não há forma de contornar a falha sem atualizar, por isso o passo a dar é instalar o firmware mais recente.
Segundo a página de ajuda da LG, nos televisores com webOS 5.0 ou mais recente (modelos de 2020 em diante), carregas no botão de definições do comando e segues por Todas as definições, Suporte, Atualização de software e Verificar atualizações. No mesmo menu podes ligar a atualização automática. Nos modelos de 2019 ou anteriores, o caminho passa por Geral e Acerca desta TV.
Para saberes que versão do webOS tens, a LG indica que basta carregar três vezes no botão de definições ou no de silêncio. Os nomes exatos dos menus podem variar de modelo para modelo. O aviso da SSD remete para o boletim de segurança da LG, mas não indica que versão de firmware traz a correção.
