Wifi-thermostaten van fabrikant Network Thermostat bevatten een kritieke kwetsbaarheid waardoor een aanvaller op afstand volledige administrator-toegang kan krijgen. Er zijn updates uitgebracht om het probleem te verhelpen. De 'X-Series' wifi-thermostaten van Network Thermostat zijn op afstand te bedienen, bijvoorbeeld vanaf smartphone of computer.

Het beveiligingslek (CVE-2025-6260) bevindt zich in de embedded webserver van de thermostaat. Hierdoor kan een aanvaller directe toegang tot de webserver krijgen en wachtwoorden van gebruikers resetten. Dit kan tot "full administrative access" tot het apparaat leiden, zo waarschuwt het Amerikaanse cyberagentschap CISA. Dat merkt op dat de kwetsbaarheid zowel vanaf het lokale netwerk als het internet is te misbruiken, als voor de thermostaat port forwarding op de router is ingesteld.

De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. Wifi-thermostaten die door de fabrikant zijn te bereiken hebben de update inmiddels ontvangen. Eindgebruikers van wie de thermostaat achter een firewall zit moeten contact met de leverancier opnemen om de installatie te coördineren, aldus het CISA.