Una vulnerabilidad sin parchear en la aspiradora Shark podría poner en riesgo tu hogar inteligente.

      La vulnerabilidad afecta a las aspiradoras robot SharkNinja y proviene de una política de seguridad en la nube mal configurada en lugar de un error de firmware.

      Las aspiradoras robot se supone que deben limpiar la casa. Resulta que esta estaba mapeándola para extraños. Investigadores de seguridad han revelado una vulnerabilidad crítica que afecta a las aspiradoras robot conectadas a la nube de SharkNinja, que podría permitir a los atacantes acceder de forma remota a información sensible, incluyendo transmisiones de cámaras en vivo, mapas del hogar, contraseñas de Wi-Fi e incluso ejecutar comandos en los dispositivos afectados. Más preocupante aún, el problema supuestamente sigue sin ser parcheado a pesar de haber sido divulgado de manera responsable a SharkNinja hace meses.

      ¿Cómo puede una aspiradora convertirse en un espía?

      La falla fue descubierta por el investigador de seguridad tokay0, quien realizó ingeniería inversa en una aspiradora robot Shark RV2320EDUS. Según la investigación, el dispositivo contiene un certificado de AWS IoT que está permitido para comunicarse con otros dispositivos Shark en la misma región de AWS, en lugar de estar restringido a su propio dispositivo. Esa política de nube excesivamente amplia permite efectivamente que un certificado extraído de una aspiradora interactúe con muchas otras.

      Si se explota, un atacante podría emitir comandos de forma remota a las aspiradoras vulnerables, acceder a las transmisiones de cámaras, descargar mapas del hogar de un usuario, recuperar contraseñas de Wi-Fi que supuestamente se almacenan en texto plano y potencialmente obtener un punto de apoyo en la red local de la víctima. El investigador observó más de 1.5 millones de dispositivos Shark únicos en una sola región de AWS durante 24 horas, con alrededor de 673,000 dispositivos respondiendo de una manera que sugiere soporte para la ejecución remota de comandos. Aunque eso no confirma que cada uno de esos dispositivos sea explotable, indica que el problema podría afectar a un número muy grande de productos.

      Para ser justos, el ataque no es tan simple como que alguien hackee una aspiradora a través de internet. Para empezar, un atacante primero necesita acceso físico a una aspiradora Shark compatible para extraer su certificado embebido a través de una interfaz de depuración. Eso eleva significativamente la barrera de entrada, haciendo que el ataque sea más probable que lo lleven a cabo investigadores capacitados o atacantes decididos en lugar de hackers oportunistas.

      La mala noticia es que una vez que se ha extraído un certificado de este tipo, el resto del ataque puede llevarse a cabo de forma remota a través de la infraestructura en la nube de SharkNinja. Según el investigador, el problema subyacente radica en la política de AWS IoT del lado de la nube de la empresa, lo que significa que los usuarios no pueden solucionarlo ellos mismos con una actualización de firmware. La mitigación requerida debe ser implementada por SharkNinja en sus servidores.

      ¿Qué deben hacer los propietarios de Shark?

      El investigador dice que la vulnerabilidad fue divulgada por primera vez a SharkNinja en marzo de 2026, pero no se había lanzado ningún parche en el momento de la publicación. Los informes también señalan que actualmente no hay un identificador CVE asignado para el problema, y SharkNinja aún no ha anunciado públicamente una solución.

      Hasta que la empresa aborde el problema, los usuarios que no dependen de funciones inteligentes pueden considerar desconectar su aspiradora robot de Wi-Fi o deshabilitar la funcionalidad remota para reducir la superficie de ataque. Es una solución temporal en lugar de una verdadera solución, pero dado que esta es una vulnerabilidad del lado de la nube, la responsabilidad recae en última instancia en el fabricante.

      Varun es un periodista y editor de tecnología experimentado con más de ocho años en medios de tecnología de consumo. Su trabajo abarca…

      Revisión de Beatbot AquaSense X: El limpiador de piscinas para aquellos que quieren ser mimados

      Es un verdadero nirvana de autolimpieza para tu piscina. Pero como dicen, nada bueno viene sin un costo adecuadamente atractivo.

      Revisión del altavoz Google Home (2026): Más inteligente y contundente, con un toque de suscripción

      El último altavoz inteligente de Google combina Gemini con un mejor sonido y una integración más profunda en el hogar inteligente. ¿Qué no amar sin gastar más de $100?

      Intenté parodiar los productos de IA más absurdos, pero la industria tecnológica me ganó

      La broma se suponía que era que cada objeto del hogar obtiene cámaras, conocimientos de IA y un nivel premium. Aparentemente, eso ahora es un plan de negocios.

      Quería inventar un producto de IA tan ridículo que ningún fundador pudiera convertirlo en una ronda de semillas. Tenía que resolver un problema que nadie tenía, recopilar muchos más datos de los que el problema merecía y convertir un comportamiento normal en un conocimiento que sonara vagamente decepcionado con su dueño. En algún momento alrededor de la tercera característica, pediría una suscripción.