Smart Lock igloohome: Sicherheitslücke in der Android-App kann Schlösser für Einbrüche öffnen

Am 28. Juli 2026 veröffentlichte die Cybersecurity and Infrastructure Security Agency (CISA) eine Sicherheitswarnung (ICSA-26-209-06), die auf eine Sicherheitslücke in der mobilen igloohome-App für Android hinweist. Die am 30. Juli bekannt gewordene Meldung betrifft die Möglichkeit, dass ein Angreifer unbefugten Zugriff auf Backend-Funktionen und möglicherweise auf die von der App verwalteten intelligenten Schlösser erlangt.

Was der App-Code enthält

Die als CVE-2026-16581 verfolgte Schwachstelle ist als Inclusion of Sensitive Information in Source Code (CWE-540) klassifiziert. Im Wesentlichen enthielt die igloohome-App für Android (Version 3.2.3 und früher) vertrauliche Informationen wie Zugangsdaten oder Token im Quellcode, die von einem Angreifer extrahiert werden konnten. Laut Analyse ermöglichen die offengelegten Daten, die Authentifizierungskontrollen zu umgehen und auf die Backend-Dienste des Herstellers zuzugreifen.

Der CVSS v3.1-Score beträgt 5,3 (MITTEL), mit Netzwerkvektor, geringer Komplexität und ohne erforderliche Authentifizierung. Der Standard in Version 4.0 erhöht die Bewertung auf 6,9, ebenfalls im mittleren Bereich, und weist auf lokale Auswirkungen auf die Vertraulichkeit hin. Es sind weder Privilegien noch Benutzerinteraktion erforderlich.

Wer ist gefährdet und welche Folgen hat das

Intelligente Schlösser von igloohome werden weltweit in gewerblichen Infrastrukturen eingesetzt: Hotels, Büros, Ferienwohnungen. Die Android-App fungiert als digitaler Schlüssel zum Entsperren und Verwalten von Zugängen. Ein Angreifer, der die sensiblen Informationen aus dem Code extrahiert, könnte daher:

• Zugriff auf Administrationsoberflächen oder Backend-APIs erhalten.
• Die Konfiguration der Schlösser kompromittieren.
• Möglicherweise Türen ohne Berechtigung öffnen.

Zum Zeitpunkt der Veröffentlichung der Warnung hat CISA keine aktive Ausnutzung der Schwachstelle festgestellt. Die Art der Offenlegung – direkt im Quellcode enthaltene Daten – macht den Angriff jedoch relativ leicht automatisierbar, sobald die Informationen öffentlich bekannt sind.

Kein Patch, aber sofortige Gegenmaßnahmen

igloohome hat noch keinen spezifischen Patch für die Schwachstelle veröffentlicht. In der Mitteilung ICSA-26-209-06 empfiehlt CISA eine Reihe von Schutzmaßnahmen, um das Risiko bis zu einem offiziellen Update zu begrenzen:

• Steuergeräte vom Internet isolieren, indem sie hinter Firewalls und in separaten Netzwerken platziert werden.
• Für Fernverbindungen aktuelle VPNs verwenden.
• Auswirkungsanalysen durchführen und die Best Practices für den Schutz industrieller Steuerungssysteme (ICS) befolgen, die auf cisa.gov/ics verfügbar sind.

Diese Maßnahmen sind allgemein und für ICS-Umgebungen gedacht, lassen sich aber auch auf die Architekturen anwenden, in die die Smart Locks eingebettet sind. Die Warnung enthält auch Hinweise zu Social Engineering und Phishing, die jedoch nicht direkt mit dem Ausnutzungsmechanismus von CVE-2026-16581 zusammenhängen.

Entdeckung und Kontext

Die Sicherheitslücke wurde CISA von Vincent C., einem Forscher bei CodeVispera, gemeldet, einem auf Codeanalyse und Anwendungssicherheit spezialisierten Unternehmen. Die Entdeckung unterstreicht, wie wichtig die Codeüberprüfung vor der Veröffentlichung ist, insbesondere bei Apps, die physische, vernetzte Geräte steuern.

Während auf einen Fix des Herstellers gewartet wird, sollten Nutzer von igloohome-Schlössern prüfen, ob der direkte Internetzugriff auf die Controller deaktiviert ist, und die empfohlenen Gegenmaßnahmen umsetzen. Der Vorfall erinnert daran, dass die Sicherheit von Smart Locks nicht nur von der Hardware-Robustheit abhängt, sondern auch von der Qualität der zugehörigen Verwaltungssoftware.