Sicurezza
Ultimo aggiornamento: novembre 2026
Nexo Labs S.r.l.s. sviluppa il firmware del Nexo Hub, il servizio cloud cloud.nexolabs.it e l’app Nexo Hub. Se hai trovato una vulnerabilità in uno di questi, ti chiediamo di segnalarla a noi prima di renderla pubblica.
Come segnalare
Scrivi a security@nexolabs.it, anche in inglese, indicando:
- il prodotto e la versione (firmware: pagina Sistema dell’hub; app: Impostazioni › Informazioni);
- che cosa hai trovato e che effetto ha;
- i passi per riprodurla ed eventualmente un codice di prova;
- se e come vuoi essere citato quando la correzione sarà pubblicata.
Non inviare dati personali di terzi né credenziali reali di impianti.
Che cosa facciamo noi
- Entro 5 giorni lavorativi: conferma di ricezione.
- Entro 15 giorni lavorativi: prima valutazione (confermata o no, gravità, prossimi passi).
- Correzione in tempi proporzionati alla gravità. Per il firmware arriva come aggiornamento firmato, che ogni hub mostra come disponibile nella pagina web e nell’app.
- Avviso pubblico su questa pagina quando la correzione è disponibile, con la citazione di chi ha segnalato, se lo desidera.
Proponiamo di rendere pubblici i dettagli 90 giorni dopo la segnalazione, o prima se la correzione è già disponibile. Le vulnerabilità sfruttate attivamente e gli incidenti gravi vengono notificati come previsto dall’art. 14 del Regolamento (UE) 2024/2847 (Cyber Resilience Act).
Ricerca in buona fede
Non intraprendiamo azioni contro chi fa ricerca in buona fede: su dispositivi e account propri, senza accedere a dati di altri, senza interrompere il servizio, senza toccare impianti di clienti, e segnalando a noi prima di pubblicare.
Ambito
- firmware del Nexo Hub, su tutte le schede su cui è installato;
- servizio cloud
cloud.nexolabs.ite app Nexo Hub (Android, iOS, Windows, macOS); - il sito nexolabs.it, per le vulnerabilità che riguardano gli utenti dei prodotti.
Le vulnerabilità dei prodotti di terzi collegati all’hub (centrali, telecamere, serrature, servizi cloud dei rispettivi produttori) vanno segnalate ai loro produttori. Se il modo in cui li usiamo le aggrava, scrivici comunque.
Aggiornamenti di sicurezza
Il firmware del Nexo Hub riceve aggiornamenti di sicurezza gratuiti per 5 anni dalla data di acquisto di ciascun dispositivo, indipendentemente dalle licenze delle integrazioni e dei servizi cloud. Le correzioni arrivano con l’ultima versione pubblicata di firmware, app e cloud. Quando c’è un aggiornamento, la pagina web dell’hub e l’app lo segnalano a chi può installarlo.
Avvisi di sicurezza
Qui vengono pubblicati gli avvisi sulle vulnerabilità corrette, con le versioni interessate e quella che le corregge.
NXSA-2026-01 — Firmware Nexo Hub fino alla 1.630.0
Pubblicato il 7 novembre 2026 · Corretto nella versione 1.636.0 · Non ci risultano sfruttamenti.
- Reset senza password dalla rete locale. Se nessun amministratore aveva un’email di recupero, chiunque nella rete locale poteva cancellare la configurazione dalla pagina di accesso. Ora il reset è possibile solo nei 10 minuti dopo aver tolto e ridato alimentazione all’hub.
- Accesso senza password. Un hub nuovo, resettato o con il registro degli utenti danneggiato era accessibile senza password dalla rete locale. Ora chiede di creare l’amministratore prima di qualsiasi altra cosa, e con il registro danneggiato resta chiuso. Gli hub già installati senza password continuano a funzionare e mostrano un avviso: impostate una password per l’amministratore.
- Certificato non verificato verso i servizi cloud di Ajax, Nuki, Tedee e Netatmo. Chi controllava la rete tra l’hub e Internet poteva intercettare le credenziali di questi servizi. Ora il certificato dei server viene verificato.
- Backup su microSD leggibili senza password. I backup fatti senza password erano cifrati con una chiave ricavabile da chi aveva la scheda. Ora la password è obbligatoria: rifate i backup con una password ed eliminate quelli segnati «senza password».
Aggiornate l’hub dalla pagina Sistema o dall’app: entrambe segnalano l’aggiornamento disponibile.
English. Please report vulnerabilities in the Nexo Hub firmware, the cloud.nexolabs.it service or the Nexo Hub app to security@nexolabs.it before disclosing them. We acknowledge within 5 working days, give a first assessment within 15 working days, and publish an advisory on this page with the fix, crediting the reporter if they wish. We propose public disclosure 90 days after the report, or earlier once a fix is available. Security updates for the Nexo Hub firmware are free for 5 years from the date of purchase of each device. Good-faith research on your own devices and accounts, without accessing other people’s data or disrupting the service, will not lead to legal action.