Smart lock igloohome: una vulnerabilità nell’app Android può esporre le serrature a intrusioni

Il 28 luglio 2026 la Cybersecurity and Infrastructure Security Agency (CISA) ha pubblicato un advisory (ICSA-26-209-06) che segnala una falla di sicurezza nell’applicazione mobile igloohome per Android. La notizia, emersa il 30 luglio, riguarda la possibilità che un utente malintenzionato ottenga accesso non autorizzato a funzioni di backend e, potenzialmente, alle serrature intelligenti gestite dall’app.

Cosa contiene il codice dell’app

La vulnerabilità, tracciata come CVE-2026-16581, è classificata come Inclusion of Sensitive Information in Source Code (CWE-540). In sostanza, l’applicazione igloohome per Android (versione 3.2.3 e precedenti) includeva nel proprio codice sorgente informazioni riservate, come credenziali o token, che potevano essere estratte da un attaccante. Secondo l’analisi, il dato esposto consente di aggirare i controlli di autenticazione e di interfacciarsi con i servizi di backend del produttore.

Il punteggio CVSS v3.1 è 5.3 (MEDIO), con vettore di rete, complessità bassa e nessuna autenticazione richiesta. La versione 4.0 dello standard alza il giudizio a 6.9, sempre nella fascia media, evidenziando un impatto locale sulla riservatezza. Non sono richiesti privilegi né interazione con l’utente.

Chi è a rischio e quali conseguenze

Le serrature intelligenti igloohome sono impiegate in infrastrutture commerciali su scala globale: hotel, uffici, residenze temporanee. L’applicazione Android funge da chiave digitale per sbloccare e gestire gli accessi. Un malintenzionato che estragga le informazioni sensibili dal codice potrebbe quindi:

• Ottenere accesso a pannelli di controllo o API di backend.
• Compromettere la configurazione delle serrature.
• Potenzialmente, sbloccare porte senza autorizzazione.

Al momento della pubblicazione dell’advisory, CISA non ha rilevato sfruttamenti attivi della falla. Tuttavia, la natura dell’esposizione – dati direttamente inclusi nel codice sorgente – rende l’attacco relativamente semplice da automatizzare una volta che le informazioni siano state rese pubbliche.

Nessuna patch, ma contromisure immediate

Igloohome non ha ancora rilasciato una patch specifica per la vulnerabilità. Nel bollettino ICSA-26-209-06, CISA raccomanda una serie di accorgimenti difensivi per limitare il rischio in attesa di un aggiornamento ufficiale:

• Isolare i dispositivi di controllo dalla rete Internet, ponendoli dietro firewall e reti isolate.
• Utilizzare VPN aggiornate per eventuali collegamenti da remoto.
• Condurre analisi d’impatto e seguire le best practice per la protezione dei sistemi di controllo industriale (ICS), disponibili sul sito cisa.gov/ics.

Queste misure sono generiche e pensate per ambienti ICS, ma si applicano anche alle architetture in cui sono inserite le smart lock. L’advisory contiene anche avvertenze su ingegneria sociale e phishing, sebbene non siano correlate direttamente al meccanismo di sfruttamento di CVE-2026-16581.

La scoperta e il contesto

La vulnerabilità è stata segnalata a CISA da Vincent C., ricercatore presso CodeVispera, società specializzata nell’analisi di codice e nella sicurezza delle applicazioni. La scoperta sottolinea quanto sia critico il processo di revisione del codice prima del rilascio, in particolare per app che governano dispositivi fisici connessi.

Mentre si attende un fix da parte del produttore, gli utenti delle serrature igloohome dovrebbero verificare di aver disabilitato l’accesso diretto da Internet ai controller e applicare le mitigazioni suggerite. La vicenda ricorda che la sicurezza delle smart lock non dipende solo dalla robustezza hardware, ma anche dalla qualità del software che le gestisce.