Вокруг взлома Яндекс Станций выросло сообщество из 9 000 человек

20 октября разработчик под ником bitracker получил root‑доступ к Яндекс Станции Mini 2, используя слабые сертификаты индийского центра eMudhra. Перебрав ключи от 1 до 255, он заставил колонку доверять поддельному серверу, перенаправил запросы через DNS‑подмену и активировал ADB, открыв оболочку с правами суперпользователя.

Яндекс выпустил патч 21–23 октября, удалил доверие к уязвимым сертификатам и закрывал ADB. Обновления установились автоматически, но заводской сброс возвращает прежнюю прошивку, где уязвимость сохраняется. Сообщества советуют отключать автообновления, чтобы сохранить доступ.

За несколько дней вокруг этой техники сформировалось более 9 000 участников. Они создали вики Yandex Station Extended, где публикуют методы разблокировки разных моделей – Mini, Light, Midi, Max и др. На базе открытого менеджера пакетов YAM и форка BetterYAM пользователи устанавливают приложения через веб‑интерфейс, меняют подсветку, кнопки, часы, запускают Minecraft и даже заменяют голосового помощника «Алису» на DeepSeek или ChatGPT.

Открытость приводит к новым рискам: одна из веб‑панелей YAM работает на порту 8099 без пароля, позволяя любому в локальной сети установить код и получить доступ к микрофону. Отключение официальных обновлений также оставляет колонку без будущих исправлений, а неудачные модификации могут вывести устройство из строя.