CVE-2019-18980: bulb Philips Wiz vulnerabili a controllo remoto

CVE-2019-18980 identifica un'API non protetta nei bulb LED intelligenti Philips Wiz (modello 9290022656). L'API di controllo manca completamente di autenticazione e crittografia: chiunque abbia accesso alla rete in cui il bulb è connesso può accenderlo, spegnerlo, cambiarne il colore e la luminosità senza alcuna credenziale. Il rischio è concreto in ambienti corporate dove i sistemi di illuminazione intelligente sono integrati in edifici smart o datacenter. Non è richiesto alcun tool sofisticato: basta accesso alla rete locale del dispositivo.

La vulnerabilità ha un CVSS di 7,5 (High). È stata ufficialmente registrata il 14 novembre 2019 da NVD. A distanza di 7 anni, il rischio rimane concreto: il 29 ottobre 2026, è stato rilevato su GitHub un tool pubblico che implementa audit e controllo remoto per bulb Wiz, estendendo lo sfruttamento a nuovo hardware oltre il modello originale. Questo segnale recente indica che il vettore di attacco rimane attrattivo per i ricercatori e richiede una rivalutazione dei difensori.

Gli amministratori devono verificare se bulb Philips Wiz sono presenti nel perimetro aziendale. Se presenti, la priorità è la segmentazione di rete: isolare i bulb da reti pubbliche e da segmenti critici, confinandoli in una VLAN dedicata con regole di accesso controllate. Verificare se Philips ha rilasciato patch di firmware (dal 2019 non sono note correzioni ufficiali). In assenza di patch, la mitigazione primaria è il network access control e il monitoraggio dei tentativi di accesso ai dispositivi.