Ошибка в локальной беспроводной связи Nintendo Switch позволяет запустить на консоли посторонний код и получить доступ к данным, которые на ней хранятся. Идентификатор уязвимости в базе общеизвестных уязвимостей CVE-2026-82079, исправление вошло в системную версию 23.0.0. Рискуют владельцы приставок с прошивкой старше этой сборки. Первоначальное сообщение производителя датировано 10 сентября 2026 года. Речь идёт о беспроводном обмене, который действует в пределах одной комнаты. Уязвимость затрагивает не интернет-соединение, а отдельный канал связи между устройствами, который консоль использует для локальных игр и передачи файлов.
Уязвимость CVE-2026-82079
В основе лежит переполнение буфера в стеке при обработке сетевых пакетов. Такой сбой возникает, когда объём входных данных превышает отведённую под них память и содержимое выходит за границы участка. Записав лишние байты, нарушитель перекрывает служебные структуры, которые управляют ходом программы. Затем он собирает нужную последовательность команд из фрагментов кода, уже присутствующих в памяти. Такой приём называют возвратно-ориентированным программированием: короткие готовые блоки выстраиваются в цепочку и выполняют нужные злоумышленнику действия. Исправление затрагивает всю ветку прошивок ниже 23.0.0. Локальный канал при этом остаётся открытым для всех устройств поблизости, пока на консоли включён соответствующий режим.
QR-код (двумерный штрихкод, который считывает камера) сам по себе вредоносного содержимого не несёт, и сканировать чужую наклейку бесполезно. Изображение на экране обслуживает локальное сопряжение двух устройств, и атака проходит именно через этот обмен данными. Злоумышленник должен лично отсканировать код, выведенный на экране консоли или подключённого телевизора. Значит, ему нужно находиться рядом с чужой приставкой и успеть поймать момент, пока изображение видно. Вывод картинки на большой экран расширяет зону видимости и облегчает задачу. Без прямого сканирования кода атака не срабатывает, и Nintendo прямо указывает на это условие в бюллетене.
Производитель перечисляет две функции, через которые сценарий работает. Первая связана с опцией "Отправить на смартфон" в приложении "Альбом". Приставка передаёт снимки на телефон по локальной сети и показывает код для связи. Вторая касается игры Mario Kart Live: Home Circuit, где карт сопрягается с консолью тем же способом. В обоих случаях пользователь видит код на экране, а приставка ждёт внешнее устройство. Обе функции рассчитаны на повседневное использование, поэтому многие владельцы сталкиваются с ними регулярно.
Оценка уязвимости по шкале CVSS (общая система оценки уязвимостей) 3.1 составляет 8.4 балла, по версии 4.0 - 7.0. Обе методики относят проблему к высокому уровню опасности. Балл учитывает и возможность выполнить код, и условия эксплуатации, которые остаются непростыми.
Эксплуатация требует близости и точного совпадения по времени. Нарушителю мало оказаться в радиусе действия локальной сети. Ему нужно видеть экран в тот момент, когда на нём появился код. Изображение исчезает, и возможность пропадает. Пока в открытых описаниях нет данных о том, что код удаётся удержать на экране дольше обычного. Поэтому случайный прохожий с телефоном сам по себе опасности не создаёт.
Повышенный риск создают места скопления людей: общественный транспорт, кафе, общие квартиры, выставки и турниры. Отдельный случай - трансляция изображения на внешний монитор, когда код видит более широкая аудитория. Массовые атаки через интернет в этой схеме невозможны. Это главное отличие от типичных сетевых уязвимостей, которыми пользуются дистанционно. Организаторы турниров и выставок могут снизить риск, если не выводят коды на общие экраны без необходимости.
Успешная эксплуатация нарушает границы безопасности консоли. Посторонний код получает на устройстве те же возможности, что и системные процессы. Нарушитель читает данные, которые хранятся в памяти приставки. Что именно окажется ему доступно, зависит от того, какие сведения устройство держит в этот момент. Сведений о реальных атаках с использованием этой уязвимости пока нет.
Технические описания не упоминают вредоносные программы, готовые эксплойты (программы, использующие уязвимость) или организованные кампании против владельцев Switch. Уязвимость обнаружили сторонние исследователи безопасности и передали сведения производителю. Больше об авторах находки не сообщается.
Консоль Switch 2 в описанном сценарии данные не раскрывает. Nintendo отдельно указывает, что утечка информации таким способом новой модели не грозит. Речь идёт только о локальном обмене, а не обо всех возможных проблемах безопасности. Установка актуальной прошивки остаётся обязательной практикой для любой консоли, и Switch 2 здесь не исключение.
Правка доступна в системной версии 23.0.0. Проверить номер сборки можно из главного меню приставки. Нужно открыть System Settings, затем раздел System. Там же запускается System Update. После установки новой версии описанный сценарий перестаёт работать.
Если обновиться сразу не получается, Nintendo советует отказаться от обмена по коду в присутствии посторонних. Держите экран консоли и телевизора вне чужого поля зрения. Для сопряжения используйте только собственный телефон и собственные карты. Не берите чужие аксессуары и не позволяйте сканировать код людям, которым не доверяете. Эти меры снижают риск, но не заменяют установку свежей версии.
Игровые приставки обновляют реже, чем смартфоны, поэтому исправление доходит до части владельцев с задержкой. Пока консоль работает на старой прошивке, её локальная беспроводная связь остаётся открытой для посторонних в той же комнате. Проверка версии системы занимает меньше минуты. Этого достаточно, чтобы понять, нужна ли установка. Сентябрьское сообщение стало первым публичным описанием проблемы, и Nintendo оставляет за собой право дополнять документ без предупреждения.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-82079
- https://www.nintendo.com/security-advisories/assets/pdf/20260910e.pdf
