LG製スマートTVにローカルネットワーク経由でroot権限を奪取される脆弱性、修正パッチが公開
要点
- LGのスマートTV向けOS「webOS」において、3つの脆弱性を連携させて機器のroot権限を完全に奪取できる攻撃手法が判明した。
- 同一のローカルネットワーク内に接続した攻撃者は、PIN認証や画面操作を介さずに未認証のまま遠隔操作が可能になる。
- 脆弱性開示プラットフォーム「SSD Secure Disclosure」が情報を公開し、LG側はすでに対策済みの修正パッチを発行している。
- 修正パッチの適用以外に回避策はなく、対象機種のユーザーにはファームウェアの早急な更新が呼びかけられている。
- セキュリティコンテスト「TyphoonPWN 2026」で実演されたもので、現時点で悪用被害の報告やCVE番号の採番は確認されていない。
LGエレクトロニクスのスマートTVに搭載されている基本ソフト「webOS」において、同一ローカルネットワーク上からユーザーの操作なしに最高管理者権限（root権限）を乗っ取ることができる複数の脆弱性が明らかになった。
セキュリティ脆弱性の開示を支援する「SSD Secure Disclosure」が2026年10月12日に公開したセキュリティ勧告によると、LGはすでにこの問題に対応する修正パッチを発行済みだという。影響を受ける機器では、PINコードの入力や所有者の同意を一切経ることなく、ローカルネットワーク経由で不正アクセスを許すリスクが指摘されている。
3つの不備を連鎖させる攻撃の仕組み
今回報告された脅威は、単一の欠陥ではなく、webOS内部に存在する3つの脆弱性を数珠つなぎに悪用（チェーン化）することで成立するものだ。
攻撃の足がかりとなるのは、LGの家電操作アプリ「LG ThinQ」とのペアリング処理を行うために、テレビ側がネットワーク上に開放している「ポート3001」の通信サービスである。通常、外部アプリとの接続時には画面に表示されるPINコードの照合が求められるが、攻撃者はテレビ内にあらかじめ組み込まれているアプリ「sync-demo」の設定ファイルを再利用（リプレイ）して送信する。このファイルにはファームウェアが正規のものとして信頼するテスト用証明書が付与されており、記載された権限情報によってペアリング処理側の検証がすり抜けられ、PIN入力を求められることなく特権キーが発行されてしまう。
特権キーを入手した攻撃者は、続いて端末内の別の組み込みアプリ「cmp-client」を不正に呼び出す。このアプリには外部から指定された遷移先URLを検証しない不備があり、攻撃者が用意した任意のWebページを読み込ませることが可能となっていた。さらに、読み込まれた外部ページ上からは、テレビの内部機能やサービスへアクセスするための通信基盤「PalmServiceBridge」が利用可能な状態のまま維持される仕様となっていた。
最終段階として、攻撃者はPalmServiceBridge経由でシステム全体のログ記録を担うサービス「pmlogd」を呼び出す。このサービスには入力された文字列を適切にチェックしない欠陥が存在するため、任意のシェルコマンド（OSへの直接的な命令文）を注入して実行させることができる。pmlogdはシステム上で最上位のroot権限で動作していることから、注入されたコマンドもすべてroot権限で処理され、結果としてテレビ全体の完全な掌握に至るという。
影響を受けるモデルとユーザーへの対応策
SSD Secure Disclosureが公開した情報によると、今回の一連のエクスプロイトチェーン（脆弱性を連鎖的に悪用する攻撃手順）は、以下の環境において実機での動作検証が行われた。
- モデル番号: 32LQ636BPSA、27TQ600SW
- OSバージョン: webOS 7.5.7-25
- ファームウェアバージョン: 04.54.40
現時点では、上記以外のテレビモデルや異なるファームウェアのバージョンに同様の欠陥が存在するかどうかについては確認されていない。
LGはすでにこの脆弱性に対処する修正プログラムの提供を開始している。影響を受けるテレビを所有しているユーザーに対しては、設定画面から最新のファームウェアへの更新を確認することが推奨されている。なお、何らかの事情ですぐにアップデートを適用できない環境に向けた一時的な回避策（ワークアラウンド）は存在しないとされている。
セキュリティ大会での実演と過去の事例
この攻撃チェーンは、2026年5月に韓国・ソウルで開催されたサイバーセキュリティ競技会「TyphoonPWN 2026」において、匿名のセキュリティ研究者によって実演された成果だ。この研究者はLG webOS部門において3位の成績を収めている。現時点ではこの一連の脆弱性に対して固有の識別番号（CVE番号）は割り当てられておらず、実際の環境において悪用が確認された事例も報告されていない。
なお、LG製スマートTVにおいてローカルネットワークの通信面を突いてroot権限が奪取される事例は、今回が初めてではない。2024年にはセキュリティ企業Bitdefenderによって、ネットワーク経由で認証なしに侵入を許す別のwebOSの脆弱性群が発見され、同年3月に修正されている。また、2025年の「TyphoonPWN 2025」においても、別のポートを利用したパストラバーサル（意図しないファイルパスへの不正アクセス）による端末の完全乗っ取り手法が報告されていた。