Причиной стала уязвимость, позволявшая получать права суперпользователя Яндекс обновил миллионы активных умных колонок и большинство партнёрских телевизоров на YaOS после обнаружения уязвимости в сертификатах eMudhra. Обновление вышло 21–23 октября и установилось автоматически, без действий со стороны пользователей. Об этом сообщили в компании. Источник изображения: Яндекс // https://alice.yandex.ru/blog/2026/alice_school_kids Проблема связана с компрометацией закрытых ключей восьми промежуточных удостоверяющих центров. Исследователь выяснил, что ключи можно подобрать перебором: они представляли собой числа от 1 до 255. Это позволяло создавать поддельные сертификаты и проводить атаки типа «человек посередине», перехватывая и изменяя сетевой трафик. На «Яндекс Станциях» уязвимость позволяла подменять конфигурацию, получаемую с серверов компании. Энтузиасты использовали её, чтобы включить служебный интерфейс ADB (Android Debug Bridge) и получить права суперпользователя на собственных устройствах. Для атаки на чужую колонку злоумышленнику потребовалось бы дополнительно получить контроль над её сетевым трафиком. Выпущенное обновление удаляет скомпрометированные сертификаты, перезаписывает уязвимые системные файлы и закрывает доступ через ADB. Яндекс также предупредил, что сброс к заводским настройкам возвращает уязвимую версию прошивки. Компания рекомендует устанавливать обновления приложений и устройств и проверять используемые сертификаты.