Критическая уязвимость CVE-2026-102794 в Ziroom ZHOME A0101 позволяет удалённо выполнять команды

Исследователи сообщили о критической уязвимости в устройстве Ziroom ZHOME A0101 — оно используется как часть инфраструктуры умного дома. Проблема затрагивает обработку запросов к файлу /api/ZRnetwork/ping, отвечающему за сетевую диагностику. Поскольку эндпоинт доступен по сети, а эксплойт уже раскрыт публично, риск несанкционированного вмешательства в работу устройства и всей связанной сети оценивается как крайне высокий.

Подробности

Уязвимость классифицируется как command injection (внедрение команд) и затрагивает Ziroom ZHOME A0101 версии 1.0.1.0. При обработке запроса к /api/ZRnetwork/ping значение аргумента url не проходит должную проверку и попадает в системную команду, что позволяет злоумышленнику выполнить произвольный код на устройстве. Атака проводится удалённо, без необходимости физического доступа к оборудованию. Уязвимости присвоена оценка CVSS 9.4 — CRITICAL. По информации из записи CVE, производитель был уведомлён об обнаружении заблаговременно, однако не дал ответа, и патч на момент публикации отсутствует.

Что делать

Официальных обновлений прошивки от вендора нет. До выпуска патча рекомендуется:

• Изолировать устройства Ziroom ZHOME A0101 в отдельный сегмент сети и ограничить к ним доступ из интернета.
• Заблокировать на межсетевом экране обращения к эндпоинту /api/ZRnetwork/ping с внешних адресов; в идеале ограничить сам веб-интерфейс устройства только доверенными внутренними хостами.
• Отключить удалённое управление и проброс портов на устройство, если они не используются.
• Вести мониторинг обращений к API устройства и подозрительной сетевой активности, чтобы вовремя заметить попытки эксплуатации.
• Рассмотреть замену устройства или изоляцию его функций, если вендор не выпустит исправление.

При появлении официальной прошивки от Ziroom её следует установить незамедлительно. Итог: CVE-2026-102794 — критическая уязвимость с готовым публичным эксплойтом и без реакции производителя. Владельцам Ziroom ZHOME A0101 стоит исходить из того, что устройство небезопасно по умолчанию, и срочно ограничить его сетевую доступность.

Источник: CVE Project (cvelistV5)