CVE-2026-49199

Atakujący wysyła spreparowaną wiadomość MQTT, której zawartość nie jest odpowiednio walidowana ani sanityzowana przez urządzenie docelowe. Niepoprawna obsługa danych wejściowych prowadzi do wstrzyknięcia i wykonania dowolnych poleceń systemowych (command injection, CWE-77). Exploit nie wymaga żadnej interakcji użytkownika ani posiadania konta na urządzeniu — wystarczy dostęp sieciowy do usługi MQTT.

Atakujący uzyskuje zdalne wykonanie kodu (RCE) z uprawnieniami root, co oznacza pełną kontrolę nad urządzeniem, możliwość modyfikacji konfiguracji, kradzieży danych oraz potencjalnego wykorzystania urządzenia jako punktu wejścia do dalszych działań w sieci.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://community.acer.com/en/kb/articles/19672). Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do usługi MQTT na podatnych urządzeniach poprzez firewall lub segmentację sieci.

Wersje wskazane w referencjach producenta (Acer); konkretne modele i wersje oprogramowania nie zostały wymienione w opisie CVE

Podatność dotyczy urządzeń firmy Acer — szczegółowe informacje o produktach dostępne są w artykule bazy wiedzy Acer pod adresem wskazanym w referencjach.