Unitree Go2, le falle di sicurezza del 2026 e come aggiornare
Una vulnerabilità critica del firmware Go2, pubblicata il 24 ottobre 2026, è corretta dalla versione 1.1.11.5. Cosa è emerso nel 2026 e cosa fare.
Il 24 ottobre 2026 il National Vulnerability Database (NVD) statunitense ha pubblicato la CVE-2026-115995, una vulnerabilità nel firmware del cane robot Unitree Go2. È classificata come critica ed è già corretta: basta aggiornare il robot alla versione 1.1.11.5 o successiva. Si aggiunge a due falle del Go2 rese pubbliche a febbraio.
La falla di ottobre#
Il problema riguarda chat_go, il componente che gestisce le funzioni di conversazione del robot. Una funzione che regola il volume non controllava bene i dati ricevuti, e questo poteva permettere a un attaccante di eseguire comandi sul sistema del robot, anche da remoto.
- Versioni colpite: dalla 1.1.11.0 alla 1.1.11.4.
- Correzione: firmware 1.1.11.5.
- Gravità: 9,6 su 10 (CVSS 3.1), assegnata da VulDB, che ha gestito la segnalazione.
Secondo VulDB, Unitree ha confermato il problema già in fase di segnalazione. Il sito The Hacker Wire riporta che non risultano attacchi noti né codice dimostrativo pubblico.
Le due falle di febbraio#
Il 26 febbraio 2026 erano state pubblicate altre due vulnerabilità, scoperte dai ricercatori Olivier Laflamme e Ruikai Peng e segnalate tramite VulnCheck.
- CVE-2026-27509 (firmware da V1.1.7 a V1.1.9 e V1.1.11 EDU): un'interfaccia di programmazione del robot non chiedeva alcuna autenticazione. Chi si trovava sulla stessa rete del robot poteva caricarvi del codice, che partiva alla pressione di un tasto del controller e restava attivo anche dopo il riavvio. Gravità alta: 8,0 (CVSS 3.1).
- CVE-2026-27510 (firmware da 1.1.7 a 1.1.11, con l'app Android): i programmi creati nell'app non venivano verificati prima di essere eseguiti sul robot. Un programma alterato sul telefono, o uno malevolo condiviso nella sezione community dell'app, poteva eseguire codice sul robot. La gravità varia secondo chi la valuta: 9,6 per VulnCheck, 8,8 per NVD (CVSS 3.1).
Secondo il resoconto di Laflamme, il 24 febbraio Unitree ha distribuito via app l'aggiornamento V1.1.13, che corregge la seconda falla e introduce controlli più severi sugli script condivisi. Lo stesso ricercatore indica che la prima probabilmente non sarà corretta nelle versioni EDU, pensate proprio per essere programmate liberamente.
Cosa fare se si ha un Go2#
- Aggiornare il firmware dall'app ufficiale Unitree e controllare la versione installata.
- Tenere il robot su una rete dedicata, separata da quella usata da ospiti o pubblico, e non esporlo su reti condivise.
- Importare solo programmi di cui ci si fida e proteggere il telefono che controlla il robot.
- Sui modelli EDU, limitare quali dispositivi possono raggiungere il robot in rete.
Nessun allarmismo
Le falle sono state segnalate in modo responsabile e, dove disponibili, le correzioni arrivano con un normale aggiornamento. Anche i robot usati a noleggio o agli eventi dovrebbero sempre girare con l'ultimo firmware.