Una falla di sicurezza non corretta nell'aspirapolvere Shark minaccia la tua casa intelligente.

I robot aspirapolvere sono progettati per pulire la casa, ma è stato scoperto che uno di essi ne mappava la posizione per conto di estranei. I ricercatori di sicurezza hanno individuato una vulnerabilità critica che interessa i robot aspirapolvere connessi al cloud di SharkNinja, la quale potrebbe consentire agli aggressori di accedere da remoto a informazioni sensibili, tra cui flussi video in diretta dalle telecamere, mappe domestiche, password Wi-Fi e persino di eseguire comandi sui dispositivi smart home interessati . Ancora più preoccupante è il fatto che questo problema non sia ancora stato risolto, nonostante sia stato segnalato a SharkNinja mesi fa.

Come può una scopa trasformarsi in una spia?

Il ricercatore di sicurezza tokay0 ha scoperto questa vulnerabilità dopo aver effettuato un'analisi inversa di un aspirapolvere robot Shark RV2320EDUS. Secondo la ricerca, il dispositivo contiene un certificato AWS IoT che gli consente di comunicare con altri dispositivi Shark all'interno dello stesso ambiente AWS, anziché essere limitato al proprio dispositivo. Questa policy cloud eccessivamente ampia permette di fatto a un certificato estratto da un singolo aspirapolvere di interagire con numerosi altri dispositivi.

Se questa vulnerabilità venisse sfruttata, un malintenzionato potrebbe inviare comandi da remoto agli aspirapolvere vulnerabili, accedere ai flussi video delle telecamere, scaricare mappe della casa dell'utente, recuperare le password Wi-Fi (che a quanto pare vengono memorizzate in chiaro) e potenzialmente ottenere un punto d'appoggio nella rete locale della vittima. Il ricercatore ha osservato oltre 1.5 milioni di dispositivi Shark unici in una singola regione AWS nell'arco di 24 ore, di cui circa 673,000 hanno risposto in un modo che suggerisce il supporto per l'esecuzione di comandi da remoto. Sebbene ciò non confermi che ogni singolo dispositivo sia vulnerabile, indica che il problema potrebbe interessare un numero molto elevato di prodotti.

A dire il vero, l'attacco non è così semplice come alcuni potrebbero immaginare, come hackerare un aspirapolvere direttamente via internet. Innanzitutto, l'attaccante ha bisogno di accedere fisicamente a un aspirapolvere Shark compatibile per estrarre il certificato incorporato tramite l'interfaccia di debug. Questo innalza notevolmente la barriera d'ingresso, rendendo l'attacco più appetibile a ricercatori specializzati o hacker determinati, piuttosto che a semplici opportunisti.

La cattiva notizia è che, una volta estratto questo certificato, il resto dell'attacco può essere eseguito da remoto tramite l'infrastruttura cloud di SharkNinja. Secondo il ricercatore, il problema principale risiede nella policy del cloud AWS IoT dell'azienda, il che significa che gli utenti non possono risolverlo autonomamente tramite un aggiornamento del firmware. Le necessarie azioni correttive devono essere implementate da SharkNinja sui propri server.

Cosa dovrebbero fare i possessori di dispositivi Shark?

Il ricercatore afferma che la vulnerabilità è stata segnalata per la prima volta a SharkNinja nel marzo 2026, ma al momento della pubblicazione di questo articolo non è stata rilasciata alcuna patch di sicurezza. Le segnalazioni indicano inoltre che attualmente non esiste un identificativo CVE specifico per questo problema e SharkNinja non ha ancora annunciato una soluzione pubblica.

In attesa che l'azienda risolva il problema, gli utenti che non utilizzano funzionalità smart potrebbero valutare la possibilità di disconnettere il robot aspirapolvere dal Wi-Fi o disabilitare le funzioni di controllo remoto per ridurre la potenziale superficie di attacco. Si tratta di una soluzione temporanea, non definitiva, ma poiché la vulnerabilità è basata sul cloud, la responsabilità ricade in ultima analisi sul produttore.