Kurzfassung

Für die iOS-Begleit-App von Home Assistant ist eine Schwachstelle dokumentiert, die unter bestimmten Bedingungen dazu führen kann, dass ein Zugriffstoken in einem unsicheren Netzwerk offengelegt wird. Nach den vorliegenden Informationen betrifft das Problem Versionen vor 2025.5.0. Die Schwachstelle ist mit hohem Schweregrad eingestuft und wurde in der genannten Version behoben.

Für Unternehmen im DACH-Raum ist das Thema vor allem dann relevant, wenn Home Assistant in Testumgebungen, in Smart-Building-Szenarien oder durch Mitarbeitende im Homeoffice genutzt wird. Für Privatpersonen ist das Risiko ebenfalls real, insbesondere wenn die App in öffentlichen oder nicht vertrauenswürdigen WLANs verwendet wird.

Was ist passiert?

Die Schwachstelle betrifft die Logik der iOS-App, mit der entschieden wird, ob eine interne URL genutzt werden soll. Laut Beschreibung wird dabei eine SSID-basierte Allowlist für interne Netzwerke nicht zuverlässig beachtet. Wenn die App keine andere passende URL findet, wechselt sie dennoch auf die interne URL zurück. In einer unsicheren Netzwerksituation kann das dazu führen, dass ein Token exponiert wird.

Der Kern des Problems liegt damit nicht in der Home-Automation-Plattform selbst, sondern in der Netzwerk- und Verbindungslogik der mobilen Begleit-App. Das ist besonders kritisch, weil solche Tokens häufig als Zugangsschlüssel für Automatisierungsfunktionen, Geräteverwaltung oder Integrationen dienen.

Technische Details

Die Schwachstelle ist unter der Kennung CVE-2026-55844 erfasst und als HIGH eingestuft. Betroffen sind nach der Quellenlage Versionen vor Home Assistant 2025.5.0. Die Korrektur wurde in dieser Version bereitgestellt.

Technisch betrachtet entsteht das Risiko durch eine fehlerhafte Fallback-Logik: Die App soll anhand der SSID erkennen, ob ein internes Netzwerk vorliegt und dann die interne URL verwenden. Wird jedoch keine alternative URL ermittelt, kann die App trotzdem auf die interne URL ausweichen. In einem ungeschützten oder manipulierten Netz kann das die Offenlegung von Token begünstigen.

Für Angreifer wäre ein solches Token potenziell attraktiv, weil damit unbefugter Zugriff auf verknüpfte Home-Assistant-Instanzen oder Funktionen möglich werden könnte. Ob und wie weit ein Angriff praktisch ausnutzbar ist, hängt von der konkreten Umgebung, dem Netzwerksetup und der Token-Verwendung ab; dazu nennt die Quelle keine weiteren Details.

Wer ist betroffen?

Betroffen sind Nutzerinnen und Nutzer der iOS Companion App von Home Assistant, sofern sie eine Version vor 2025.5.0 einsetzen. Besonders relevant ist das für Personen, die die App regelmäßig in fremden oder nicht vertrauenswürdigen WLANs verwenden.

Für Unternehmen im DACH-Raum ergibt sich ein indirektes Risiko, wenn Home Assistant in Pilotprojekten, in kleinen Büroumgebungen, in Gebäudetechnik-Umgebungen oder durch Mitarbeitende im Rahmen von BYOD-Szenarien genutzt wird. Auch wenn Home Assistant typischerweise eher im privaten Umfeld verbreitet ist, können solche Tools in professionellen Kontexten schnell sicherheitsrelevant werden, sobald sie mit internen Netzen oder sensiblen Automationen verbunden sind.

Privatpersonen sind hier die wahrscheinlichere Betroffenengruppe. Wer eine Smart-Home-Zentrale über die iOS-App verwaltet und sich dabei häufig in öffentlichen WLANs bewegt, sollte das Thema ernst nehmen.

Empfohlene Maßnahmen

Die wichtigste Maßnahme ist das Update auf Home Assistant 2025.5.0 oder eine neuere Version. Nur so ist die bekannte Schwachstelle nach aktuellem Stand behoben.

Darüber hinaus sollten Nutzer und Administratoren prüfen, ob die App in unsicheren Netzwerken verwendet wird. Für mobile Zugriffe auf Smart-Home- oder Automationssysteme sind vertrauenswürdige Verbindungen, etwa über ein sicheres Heimnetz oder ein abgesichertes VPN, deutlich vorzuziehen. Wo möglich, sollten Tokens und Zugriffsrechte regelmäßig überprüft und bei Verdacht auf Kompromittierung erneuert werden.

Unternehmen sollten zusätzlich klare Richtlinien für den Einsatz von Smart-Home- oder IoT-nahen Verwaltungs-Apps definieren. Dazu gehören Versionierungskontrollen, Freigabeprozesse für mobile Apps sowie eine Bewertung, ob solche Lösungen überhaupt in produktionsnahen Umgebungen eingesetzt werden dürfen.

Einschätzung von CyberSecurity-News.de

Die Relevanz dieser Schwachstelle ist mittel bis hoch einzustufen. Zwar handelt es sich nicht um eine breit angelegte Internet-Schwachstelle mit massenhaftem Exploit-Potenzial, doch die Auswirkungen auf betroffene Nutzer können erheblich sein, wenn ein Token in falsche Hände gerät. Gerade bei Smart-Home- und Automationslösungen ist die Grenze zwischen Komfort und Sicherheitsrisiko oft schmal.

Für den DACH-Raum ist der Vorfall vor allem praxisrelevant, weil viele Anwender mobile Apps in wechselnden Netzwerken nutzen und Sicherheitsupdates bei Begleit-Apps häufig weniger Aufmerksamkeit erhalten als bei klassischen Unternehmenssystemen. Genau solche Randkomponenten werden in der Praxis aber oft unterschätzt.

Aus redaktioneller Sicht ist die Schwachstelle ein gutes Beispiel dafür, dass auch vermeintlich harmlose Verbindungs- und Fallback-Mechanismen sicherheitskritisch sein können. Unternehmen und Privatnutzer sollten deshalb nicht nur Hauptanwendungen, sondern auch Companion-Apps in ihre Patch- und Risikobetrachtung einbeziehen.

Fazit

CVE-2026-55844 zeigt, dass mobile Begleit-Apps ein ernstzunehmendes Einfallstor für Datenabfluss sein können. Wer Home Assistant auf iOS nutzt, sollte die eingesetzte Version umgehend prüfen und auf 2025.5.0 oder neuer aktualisieren. Besonders in unsicheren WLANs ist Vorsicht geboten, da dort das Risiko einer Token-Offenlegung am größten ist.

Für Unternehmen wie Privatpersonen gilt gleichermaßen: Mobile Verwaltungszugänge zu vernetzten Systemen gehören zu den sicherheitsrelevanten Komponenten und sollten entsprechend behandelt werden.

Quellenangabe

Weiterführende Quelle: NVD – CVE-2026-55844