Philips Hue Bridge Pro: bypass autenticazione da LAN con CVE-2026-122044

Il 6 novembre 2026 la Zero Day Initiative ha pubblicato l'advisory ZDI-26-892, che documenta una vulnerabilità di authentication bypass nel Philips Hue Bridge Pro. La falla, tracciata come CVE-2026-122044, consente a un attaccante posizionato nella stessa rete locale di eludere i controlli di accesso sul servizio HTTP del dispositivo, senza richiedere credenziali. La segnalazione è arrivata al vendor Signify il 12 agosto 2026: circa 86 giorni di coordinamento prima della divulgazione pubblica.

Il meccanismo: cosa si nasconde dietro la porta 443

L'advisory ZDI-26-892 identifica con precisione il punto di attacco. Il servizio HTTP del bridge ascolta sulla porta TCP 443 in modalità di default. Secondo la Zero Day Initiative, il problema deriva da un "failure to apply a protection mechanism": un controllo di sicurezza che dovrebbe interporre un ostacolo all'accesso non autorizzato non è stato implementato o attivato correttamente.

La ZDI non specifica la natura esatta di questo meccanismo mancante. Ciò che è certo è che la sua assenza consente a un attaccante di superare il muro dell'autenticazione senza presentare alcuna credenziale. La porta 443, normalmente associata a HTTPS, qui ospita un servizio HTTP vulnerabile a un bypass strutturale.

"This vulnerability allows network-adjacent attackers to bypass authentication on affected installations of Philips Hue Bridge Pro. Authentication is not required to exploit this vulnerability." — ZDI Advisory ZDI-26-892

Il vettore network-adjacent: una minaccia sottovalutata

L'aggettivo "network-adjacent" nel linguaggio della ZDI delimita con precisione il perimetro di rischio. L'attaccante deve trovarsi nella stessa rete locale del bridge: non è un attacco eseguibile da remoto su Internet, ma neanche un'intrusione che richiede accesso fisico al dispositivo. Questa fascia intermedia copre scenari concreti: un dispositivo già compromesso nella LAN, un visitatore connesso al Wi-Fi, un malware che ha guadagnato presenza nella rete.

Il Philips Hue Bridge Pro è un componente centrale dell'ecosistema di illuminazione smart di Signify. Gestisce la configurazione delle lampade, delle scene, delle automazioni e delle integrazioni con piattaforme di terze parti. Un authentication bypass in questa posizione architetturale apre un varco nel perimetro di fiducia interno, con potenziali risvolti di movimento laterale verso altri dispositivi della rete.

Dalla segnalazione alla patch: la timeline di coordinamento

La ricerca è stata condotta da Connor Ford, operatore con il handle @ByteInsight all'interno della TrendAI Zero Day Initiative. La segnalazione al vendor risale al 12 agosto 2026. Il rilascio coordinato dell'advisory è avvenuto il 6 novembre 2026, dopo un intervallo di circa 86 giorni che riflette il processo standard di gestione responsabile delle vulnerabilità.

Durante questo lasso di tempo, Signify ha rilasciato un aggiornamento firmware specifico. L'advisory indica come versione corretta la 6.1.2071524030 o successive. Il dato è significativo: non si tratta di una correzione generica, ma di un riferimento numerico preciso che gli amministratori possono verificare nell'interfaccia del proprio dispositivo.

Cosa fare adesso

Gli utenti di Philips Hue Bridge Pro devono verificare la versione firmware installata nel proprio dispositivo e assicurarsi che sia la 6.1.2071524030 o successiva. Il controllo è disponibile nell'interfaccia di gestione del bridge, tipicamente accessibile tramite l'app Philips Hue o il portale web locale.

Per i dispositivi che non risultano ancora aggiornati, è consigliabile forzare manualmente la verifica degli aggiornamenti attraverso le impostazioni dell'app. In ambienti con reti segmentate, gli amministratori devono isolare il bridge in una VLAN dedicata se possibile, limitando la visibilità del servizio HTTP sulla porta TCP 443 ai soli dispositivi autorizzati.

La priorità è massima per i bridge esposti in reti con accesso guest o con dispositivi non gestiti: in questi scenari, la condizione network-adjacent è soddisfatta da default e il bypass dell'autenticazione non richiede alcuna preparazione da parte dell'attaccante.

Perché è importante

La ZDI non ha pubblicato un punteggio CVSS per questa vulnerabilità, né ha specificato l'impatto esatto ottenibile dopo il bypass dell'autenticazione. Non emergono, allo stato attuale, evidenze di exploit in-the-wild o di rilascio di codice di prova. Questi limiti nella disclosure non attenuano la gravità intrinseca della falla: un dispositivo di controllo domotico che accetta connessioni amministrative senza autenticazione rappresenta un anello debole nel perimetro di una rete locale.

Il contesto amplifica il rischio. I bridge Philips Hue sono distribuiti a decine di milioni di unità worldwide, spesso in contesti domestici dove la segmentazione di rete è praticamente inesistente e dove l'utente medio non monitora attivamente la versione firmware dei dispositivi IoT. La combinazione di diffusione massiva, aggiornamento non automatico e bassa visibilità di sicurezza rende questa vulnerabilità un candidato ideale per l'abuso a scala, una volta che un attaccante abbia guadagnato un punto d'appoggio nella rete target.

La raccomandazione finale è lineare: verificare il firmware, applicare la patch, ridurre la superficie di esposizione del bridge nella rete locale. Tre azioni semplici che dipendono però dalla consapevolezza dell'utente finale, il vero tallone d'Achille della catena di sicurezza.

Fonti

• zerodayinitiative.com
• zerodayinitiative.com