Nintendo отстрани уязвимост с висока степен на опасност в оригиналния Nintendo Switch, която би могла да позволи на намиращ се наблизо атакуващ да изпълни неоторизиран код и да достъпи информация, съхранявана на конзолата.
Проследявана като CVE-2026-82079, слабостта засяга софтуерни версии (firmware), по-стари от 23.0.0, и се намира в локалната безжична мрежа. Проблемът със сигурността представлява препълване на стековия буфер (stack-based buffer overflow) — слабост при управлението на паметта, която възниква, когато постъпващите данни надвишат пространството, резервирано в стека.
Атакуващ може да изпрати специално форматиран мрежов трафик, който да компрометира паметта и да позволи връщащо-ориентирано програмиране (ROP). ROP свързва заедно кратки последователности от инструкции, вече налични в паметта, което потенциално позволява на злонамерения субект да пренасочи контрола над програмата и да стартира произволни операции.
Уязвимост в Nintendo Switch
От Nintendo заявяват, че експлоатацията е ограничена до специфични работни процеси и изисква контролирано взаимодействие с конзолата. Атакуващият трябва да бъде в обхвата на безжичната мрежа и директно да сканира QR код, изобразен на екрана на Switch или на свързания телевизор.
Засегнатите функции включват функцията на Album „Изпращане към смартфон“ (Send to Smartphone) и възможността за изпращане към смартфон, използвана с Mario Kart Live: Home Circuit.
След като злонамереното устройство се присъедини към временната локална безжична среда на конзолата, инжектирани пакети биха могли да се насочат към уязвимия мрежов код.
Успешна атака би могла да застраши конфиденциалността, целостта и наличността. Nintendo предупреждава, че атакуващ, който отговаря на необходимите условия, може да изпълни неоторизиран код или да получи информация от конзолата по време на успешна атака. Специфичните изисквания за близост и сканиране на QR код обаче ограничават възможностите за масова експлоатация.
Nintendo определи на CVE-2026-82079 основна оценка по CVSS 4.0 от 7.0 (висока степен на опасност). Неговият вектор описва атака през съседна мрежа (adjacent network) с ниска сложност, без да се изискват привилегии и с пасивно потребителско взаимодействие, като най-голямото оценено въздействие е върху целостта на системата.
Бази данни от трети страни също посочват вероятност по EPSS от приблизително 0.16%, което показва ниска прогноза за експлоатация в реална среда в рамките на 30 дни. EPSS е прогнозен показател, а не доказателство за това дали е извършена експлоатация.
Оригиналните конзоли Nintendo Switch, работещи с версии под 23.0.0, са уязвими. Nintendo посочва, че проблемът не може да бъде експлоатиран за получаване на информация от Nintendo Switch 2, което разграничава новата платформа от засегнатия хардтуер.
Уязвимостта е докладвана от външни изследователи по сигурността, а Nintendo публикува първоначалното си съобщение на 10 септември 2026 г.
Потребителите трябва незабавно да инсталират системната актуализация 23.0.0. За да проверите инсталираната версия, отворете System Settings от менюто HOME, изберете System и прегледайте изписаната версия; System Update стартира ръчна проверка.
Конзолите, свързани към интернет, обикновено изтеглят актуалните актуализации автоматически.
Ако незабавното инсталиране на корекции за сигурност е невъзможно, собствениците трябва да избягват засегнатите функции за споделяне, да не позволяват на други лица да виждат или сканират QR кодове, показвани от конзолата или телевизора, да използват само доверени лични смартфони за прехвърляне от Album и да избягват непознати колички от Mario Kart Live.