LG-tv kan overtages fra dit eget netværk: Sådan opdaterer du det

Et sikkerhedshul i LG's tv-styresystem webOS gør det muligt at overtage et LG-tv fuldstændigt fra det lokale netværk — uden at nogen trykker på fjernbetjeningen eller godkender en kode på skærmen. Det viser en rapport, som sikkerhedsfirmaet SSD Secure Disclosure offentliggjorde den 12. oktober 2026. LG har ifølge rapporten udsendt en rettelse, så den vigtigste ting, du kan gøre som LG-ejer, er at opdatere tv'ets software nu og sørge for, at automatiske opdateringer er slået til.

Før du går i panik: Hullet er kun bekræftet på to bestemte modeller, og angriberen skal kunne nå tv'et på dit hjemmenetværk. Det er ikke en fejl, en fremmed kan udnytte fra den anden side af jorden ved at kende din IP-adresse. Men det er præcis den slags hul, der gør et smart-tv til et svagt led i et hjem fyldt med netforbundne enheder.

Hvad sikkerhedshullet i LG-tv'et gør

Ifølge SSD Secure Disclosures rapport er der tale om tre fejl, der kædes sammen. Rapporten krediterer en uafhængig sikkerhedsforsker, der fandt kæden og vandt tredjepladsen i LG webOS-kategorien ved hacking-konkurrencen TyphoonPWN 2026.

Første led er en indbygget demo-app i tv'et ved navn sync-demo. Den har en manifest-fil, som LG selv har signeret, og som indeholder en tilladelse, der får tv'et til at springe parringen over. Normalt skal du godkende en ny app eller enhed med en pinkode på skærmen. Ved at genbruge den signerede manifest kan angriberen få en adgangsnøgle uden at blive bedt om en kode.

Andet led er en systemtjeneste, cmp-client, der åbner en webadresse, angriberen selv bestemmer, uden at tjekke, hvor den peger hen. Den side, der indlæses, får adgang til tv'ets interne systemkald.

Tredje led er en logtjeneste, pmlogd, hvor en tekstværdi sættes direkte ind i en kommandolinje. Dermed kan angriberen få tv'et til at køre sine egne kommandoer. Og fordi tjenesten kører med de højeste rettigheder, gælder det også for angriberens kommandoer. Rapporten skriver: "PmLogDaemon runs as root, so the injected command also runs as root." Med andre ord får angriberen fuld kontrol over tv'et.

Hvad en angriber konkret ville bruge den kontrol til, beskriver rapporten ikke. Der nævnes heller ikke noget om, at hullet er blevet udnyttet mod rigtige brugere.

Hvilke LG-tv er ramt?

Her skal man være præcis, for rapporten er det. SSD Secure Disclosure har testet kæden på to modeller:

Det er de eneste to modeller, der er bekræftet. Det betyder ikke, at andre LG-tv er sikre, men heller ikke, at de er ramt — ingen af kilderne siger noget om det. Rapporten oplyser ikke, hvilke andre webOS-versioner eller modeller der deler de sårbare komponenter.

Der er heller ikke tildelt et CVE-nummer, og rapporten nævner ikke, hvilket firmware-nummer der indeholder rettelsen. Den henviser kun til, at "LG has issued a fix", med et link til LG's sikkerhedsbulletiner for tv. Vi har forsøgt at læse bulletinen, men siden indlæses dynamisk og viste ikke indholdet, da vi hentede den. Vi kan derfor ikke oplyse en dato eller et versionsnummer for rettelsen fra LG's side.

Den praktiske konsekvens er enkel: Da du ikke kan tjekke dit tv mod et bestemt "sikkert" versionsnummer, er det bedste råd at installere den nyeste software, LG tilbyder til din model, uanset hvilken model du har.

Hvorfor dit eget netværk er nøglen

Angrebet kræver, at angriberen kan nå tv'et over netværket. I SSD's demonstration forbinder angrebskoden sig til tv'ets port 3001 og henter en webside fra en maskine på samme lokale netværk. Det er altså ikke et hul, der i sig selv åbner tv'et mod hele internettet.

Det lyder beroligende, men "samme netværk" dækker over mere, end man tror. Et hjemmenetværk deler ofte plads med gæsters telefoner, børnenes computere, billige smart-pærer, robotstøvsugere og overvågningskameraer. Hvis bare én af de enheder er kompromitteret, kan den bruges som springbræt videre til tv'et. Vi har tidligere beskrevet, hvordan hackede overvågningskameraer kan bevare en bagdør selv efter nulstilling, og den slags enheder befinder sig netop på det samme netværk som tv'et.

Det er ikke første gang, LG's webOS har haft alvorlige huller. I 2024 beskrev Bitdefender en anden række sårbarheder i webOS. Det er en helt separat sag med andre fejl, og den nye kæde er ikke en del af den.

Sådan opdaterer du dit LG-tv

LG's danske support beskriver, hvor du finder tv'ets softwareversion, og stien afhænger af, hvilket år tv'et er fra. En hurtig genvej, som LG selv nævner, er at trykke tre gange i træk på mute-knappen på fjernbetjeningen — så åbner tv-oplysningerne, hvor du kan se modelnavn og "S/W-version".

Ifølge LG's danske hjælpeside om tv-oplysninger ligger oplysningerne her:

Selve opdateringen findes i samme område af menuen. LG's internationale vejledning angiver for tv fra 2020 og nyere: Alle indstillinger → Support → Softwareopdatering → Søg efter opdateringer. For tv fra 2019 og ældre ligger det under Generelt → Om dette tv. LG gør selv opmærksom på, at menuerne kan variere efter model, salgsregion og sprog, så de danske navne kan afvige en smule fra dem, vi bruger her.

Gør det i denne rækkefølge:

1. Tjek softwareversionen og notér den, så du kan se, om den ændrer sig.
2. Søg efter opdateringer og installer det, tv'et finder. Lad tv'et være tændt, til det er færdigt.
3. Slå automatisk opdatering til i samme menu. Ifølge LG's vejledning hedder det "Auto Update" på engelsk, og det sikrer, at fremtidige rettelser installeres uden, at du skal huske det.
4. Har tv'et ikke internet, kan softwaren hentes på en computer fra LG's supportside for din model og installeres fra et USB-stik.

Har du en af de to bekræftede modeller, så tjek bagefter, at firmwaren ikke længere er 04.54.40.

Sådan gør du netværket sikrere

En opdatering lukker dette hul. Et separat netværk til smart-enheder begrænser skaden fra det næste.

Brug et gæstenetværk til tv og smart-enheder. Mange hjemmeroutere kan oprette et gæstenetværk — kig i routerens indstillinger eller din internetudbyders vejledning. Sæt tv, smart-højttalere, pærer og kameraer på det, og behold computere og telefoner, hvor du har bank og mail, på hovednetværket. Så kan en kompromitteret pære ikke tale direkte med din computer — og en kompromitteret computer ikke med dit tv.

Lad være med at åbne porte til tv'et i routeren. Angrebet i rapporten foregår lokalt. Har du selv sendt porte videre til tv'et for fjernadgang, har du flyttet risikoen ud på internettet.

Afbryd netværket, hvis tv'et ikke længere opdateres. Er dit LG-tv så gammelt, at der ikke kommer ny software, kan du bruge det som skærm med en separat streamingboks, der stadig får opdateringer — for eksempel Amazons Fire TV — og tage tv'et selv af netværket.

Det samme princip gælder andre enheder i stuen. Vi har tidligere skrevet om sikkerhedshuller i Plex-medieserveren og om, hvordan Philips Hue og Sonos blev hacket ved Pwn2Own. Mønsteret er det samme: Forskere finder fejlene, ofte ved hacking-konkurrencer som TyphoonPWN og Pwn2Own, producenterne retter dem, og beskyttelsen virker kun, hvis opdateringen faktisk bliver installeret.

Konklusion

Hullet i webOS er alvorligt — fuld root-adgang uden pinkode — men det er kun bekræftet på to LG-modeller, og angriberen skal være på dit netværk. LG har ifølge SSD Secure Disclosure en rettelse klar, men hverken rapporten eller LG's bulletin, sådan som vi kunne læse den, oplyser et versionsnummer.

Det, der er værd at holde øje med, er, om LG eller andre forskere bekræfter flere ramte modeller, og om sagen får et CVE-nummer. Indtil da er rådet det samme for alle LG-ejere: Tjek softwareversionen, installer den nyeste opdatering, slå automatiske opdateringer til, og flyt tv'et over på et separat netværk sammen med husets andre smarte dimser.