Пылесосы Shark: уязвимость превращает роботов в шпионские машинки на колёсах — SharkNinja медленно исправляет

Исследователь утверждает, что ещё в марте предупредил компанию SharkNinja о уязвимости, позволяющей удалённо захватывать контроль над роботами-пылесосами Shark, получать доступ к их камерам и извлекать конфиденциальные данные. Исправления до сих пор не выпущены.

Факты

Согласно Journal du Geek, исследователь выявил уязвимость, затрагивающую роботы-пылесосы марки SharkNinja (широко распространённой в Северной Америке и Европе). Её эксплуатация позволит злоумышленнику:

• удалённо управлять роботом;
• включать встроенную камеру;
• извлекать данные (карты помещений, возможно, идентификаторы Wi-Fi или токены сессий, в зависимости от модели).

Исследователь утверждает, что уведомил производителя ещё в марте 2026 года. Несколько месяцев спустя исправления остаются частичными или отсутствуют в зависимости от моделей.

Кого это касается?

В статье не указан полный перечень уязвимых моделей. На момент написания следует считать, что вся линейка подключённых устройств Shark потенциально подвержена риску, в ожидании официального advisory от SharkNinja с указанием уязвимых прошивок и доступных исправлений.

На данный момент ни один идентификатор CVE не опубликован.

Контекст: бытовой IoT — постоянное слепое пятно

Этот инцидент вписывается в хорошо задокументированную череду:

• Роботы-пылесосы оснащены камерами, LiDAR, микрофонами и детальными картами помещений — то есть это идеальный источник данных для слежки за пользователем.
• Время выпуска исправлений для аппаратного обеспечения потребительского класса значительно превышает аналогичный показатель для программных вендоров: задержка в несколько месяцев между ответственным раскрытием и патчем не редкость.
• Отчёт AIVD/MIVD документирует, как плохо обновляемый IoT используется сегодня в разведывательных целях — не только скрипт-кидди.

Что делать сейчас

Для пользователей подключённых роботов Shark, в ожидании официального исправления:

1. Изолировать робота в гостевой VLAN (отдельный SSID Wi-Fi, без доступа к остальной домашней сети);
2. Отключить исходящий интернет-трафик робота, если производитель поддерживает локальный режим — или заблокировать его адреса телеметрии на уровне маршрутизатора;
3. Физически закрывать камеру (наклейкой), когда робот не выполняет миссию;
4. Регулярно проверять страницу поддержки SharkNinja на наличие прошивки с исправлением.

Что нужно запомнить

Пока не зафиксированы активные эксплуатации в природе — но задержка патча приближается к четырём месяцам, несмотря на ответственное раскрытие. Если ситуация обострится, это может возобновить давний европейский спор о необходимости SBOM и максимальных сроках исправлений для потребительских IoT-устройств, как это предусмотрено Cyber Resilience Act с 2027 года.