Una vulnerabilità non corretta dell'aspirapolvere Shark potrebbe mettere a rischio la tua casa intelligente.

      La vulnerabilità colpisce gli aspirapolvere robot SharkNinja e deriva da una politica di sicurezza cloud mal configurata piuttosto che da un bug del firmware.

      Gli aspirapolvere robot dovrebbero pulire la casa. Si scopre che questo stava mappando la casa per estranei. I ricercatori di sicurezza hanno rivelato una vulnerabilità critica che colpisce gli aspirapolvere robot connessi al cloud di SharkNinja, che potrebbe consentire agli attaccanti di accedere da remoto a informazioni sensibili, inclusi feed di telecamere in diretta, mappe della casa, password Wi-Fi e persino eseguire comandi sui dispositivi colpiti. Più preoccupante, il problema rimane apparentemente non risolto nonostante sia stato divulgato responsabilmente a SharkNinja mesi fa.

      Come può un aspirapolvere diventare uno spia?

      Il difetto è stato scoperto dal ricercatore di sicurezza tokay0, che ha effettuato il reverse engineering di un aspirapolvere robot Shark RV2320EDUS. Secondo la ricerca, il dispositivo contiene un certificato AWS IoT che è autorizzato a comunicare con altri dispositivi Shark nella stessa regione AWS, piuttosto che essere limitato al proprio dispositivo. Quella politica cloud eccessivamente ampia consente effettivamente a un certificato estratto da un aspirapolvere di interagire con molti altri.

      Se sfruttato, un attaccante potrebbe emettere comandi da remoto agli aspirapolvere vulnerabili, accedere ai feed delle telecamere, scaricare mappe della casa di un utente, recuperare password Wi-Fi presumibilmente memorizzate in testo chiaro e potenzialmente ottenere un accesso alla rete locale della vittima. Il ricercatore ha osservato più di 1,5 milioni di dispositivi Shark unici in una singola regione AWS in 24 ore, con circa 673.000 dispositivi che rispondevano in un modo che suggeriva supporto per l'esecuzione di comandi remoti. Anche se ciò non conferma che ognuno di quei dispositivi sia sfruttabile, indica che il problema potrebbe colpire un numero molto elevato di prodotti.

      A essere onesti, l'attacco non è così semplice come qualcuno che hacka un aspirapolvere su Internet. Per cominciare, un attaccante deve prima avere accesso fisico a un aspirapolvere Shark compatibile per estrarre il suo certificato incorporato tramite un'interfaccia di debug. Questo innalza significativamente la barriera all'ingresso, rendendo l'attacco più probabile da parte di ricercatori esperti o attaccanti determinati piuttosto che hacker opportunisti.

      La cattiva notizia è che una volta estratto un tale certificato, il resto dell'attacco può avvenire da remoto attraverso l'infrastruttura cloud di SharkNinja. Secondo il ricercatore, il problema sottostante risiede nella politica AWS IoT lato cloud dell'azienda, il che significa che gli utenti non possono risolverlo da soli con un aggiornamento del firmware. La mitigazione necessaria deve essere implementata da SharkNinja sui suoi server.

      Cosa dovrebbero fare i proprietari di Shark?

      Il ricercatore afferma che la vulnerabilità è stata divulgata per la prima volta a SharkNinja nel marzo 2026, ma al momento della pubblicazione non era stata rilasciata alcuna patch. I rapporti notano anche che attualmente non è stato assegnato alcun identificatore CVE per il problema e SharkNinja non ha ancora annunciato pubblicamente una soluzione.

      Fino a quando l'azienda non affronterà il problema, gli utenti che non si affidano a funzionalità intelligenti potrebbero voler considerare di disconnettere il loro aspirapolvere robot da Wi-Fi o disabilitare la funzionalità remota per ridurre la superficie di attacco. È una soluzione temporanea piuttosto che una vera e propria correzione, ma poiché si tratta di una vulnerabilità lato cloud, la responsabilità alla fine ricade sul produttore.

      Varun è un giornalista e redattore tecnologico esperto con oltre otto anni nel settore dei media tecnologici per consumatori. Il suo lavoro spazia...

      Recensione di Beatbot AquaSense X: Il pulitore per piscine per chi desidera essere coccolato

      È un vero e proprio nirvana per la pulizia della piscina. Ma come si suol dire, nulla di buono arriva senza un costo adeguato.

      Recensione di Google Home Speaker (2026): Più intelligente e potente, con un pizzico di abbonamento

      L'ultimo altoparlante intelligente di Google abbina Gemini a un suono migliore e a una più profonda integrazione della smart home. Cosa non c'è da amare senza spendere oltre 100 dollari?

      Ho cercato di parodiare i prodotti AI più assurdi, ma l'industria tecnologica mi ha battuto sul tempo

      La battuta doveva essere che ogni oggetto domestico ottiene telecamere, intuizioni AI e un livello premium. Apparentemente, ora è un piano aziendale.

      Volevo inventare un prodotto AI così ridicolo che nessun fondatore potesse trasformarlo in un round di finanziamento iniziale. Doveva risolvere un problema che nessuno aveva, raccogliere molti più dati di quanto il problema meritasse e trasformare un comportamento normale in un'intuizione che suonasse vagamente delusa dal suo proprietario. Da qualche parte intorno alla terza funzionalità, avrebbe chiesto un abbonamento.