Téléviseurs LG webOS : une chaîne de failles donne un accès root sans PIN

Trois vulnérabilités de webOS, le système des téléviseurs LG, peuvent être enchaînées pour donner à un attaquant présent sur le même réseau local un accès root à certains téléviseurs, sans PIN ni action du propriétaire, selon un avis de SSD Secure Disclosure publié le 12 octobre 2026.

Quels téléviseurs LG sont concernés ?

D'après The Hacker News, la chaîne a été testée sur deux modèles, les 32LQ636BPSA et 27TQ600SW, sous webOS 7.5.7-25 (firmware 04.54.40). On ignore si d'autres modèles ou versions sont touchés. LG a publié un correctif ; aucune solution de contournement n'existe pour ceux qui ne peuvent pas mettre à jour, et les propriétaires doivent vérifier la disponibilité d'une mise à jour du firmware.

Comment l'attaque fonctionne-t-elle ?

Elle passe par un service exposé sur le port 3001, utilisé par l'application LG ThinQ pour l'appairage. L'attaquant rejoue le manifeste d'une application intégrée, sync-demo, signé avec un certificat de test que le firmware accepte ; une permission du manifeste fait sauter la demande de PIN et remet une clé privilégiée. Cette clé permet de lancer une autre application intégrée, cmp-client, vers une page choisie par l'attaquant, car l'application ne contrôle pas sa destination. La page garde l'accès à PalmServiceBridge, une interface vers les services système. Enfin, le service de journalisation pmlogd, qui tourne en root, exécute des commandes injectées par un champ qu'il ne vérifie pas.

Est-ce déjà exploité ?

Non, à ce stade : aucun identifiant CVE n'est attribué et aucune exploitation n'est signalée. La chaîne a été présentée par un chercheur anonyme, troisième de la catégorie LG webOS au concours TyphoonPWN 2026, à Séoul en mai. Ce n'est pas la première fois que la surface réseau de ces téléviseurs mène à un accès root : Bitdefender avait décrit en 2024 d'autres failles, corrigées en mars 2024, et une autre chaîne avait été montrée à TyphoonPWN 2025.

Que faire ?

Mettre à jour le téléviseur dès qu'une version corrigée est proposée, et éviter de le placer sur un réseau partagé avec des appareils non fiables, puisque l'attaquant doit déjà être sur le réseau local. Les objets connectés restent un sujet de fond : voir notre article sur l'alerte d'Anthropic sur les IA se propageant sur ces appareils.

Ce qui reste à confirmer

La liste complète des modèles touchés, la version exacte du correctif et l'éventuelle attribution d'un CVE ne sont pas connues à la date de l'avis. Un accès root permet en théorie de contrôler tout le système, mais l'avis ne décrit pas d'usage concret après compromission.

Source

The Hacker News, LG Smart TVs Vulnerable to Pre-Auth Root Takeover From Local Network.