OpenRGB 1.0 i luka w Logitech Options+

Dwie ważne premiery w świecie Windows

Wrześniowe informacje ze świata oprogramowania dla komputerów PC przyniosły dwa różne, ale równie istotne tematy. Z jednej strony OpenRGB po latach rozwoju doczekał się wydania 1.0. Z drugiej — okazało się, że Logitech Options+ zawierał poważną lukę, która mogła pozwolić lokalnemu użytkownikowi Windows na przejęcie uprawnień SYSTEM.

OpenRGB 1.0: jeden program do wielu urządzeń RGB

OpenRGB to otwarte narzędzie stworzone po to, by sterować podświetleniem RGB bez konieczności instalowania wielu zamkniętych aplikacji producentów. Program działa na Windows, Linux i macOS i potrafi obsługiwać m.in.:

• płyty główne,
• pamięci RAM,
• karty graficzne,
• klawiatury i myszy,
• wentylatory,
• taśmy LED.

Największa zaleta jest prosta: zamiast kilku programów działających w tle można używać jednego, który rozpoznaje sprzęt różnych marek i pozwala ustawiać kolory oraz efekty niezależnie od producenta.

W wersji 1.0 twórcy podkreślają przede wszystkim dojrzałość projektu. Zmieniono też podejście do numeracji wydań: główny numer ma się teraz zmieniać dopiero wtedy, gdy zmieni się API pluginów, a aktualizacje mniejsze mają dodawać nowe urządzenia bez psucia zgodności.

Co nowego w OpenRGB 1.0

Wśród istotnych zmian znalazły się:

• obsługa działania w tle bez otwartego okna,
• na Linuxie dostępny systemd service,
• nowe profile w formacie JSON,
• możliwość zapisywania stanu pluginów,
• wyzwalanie profili przy zdarzeniach, takich jak start, zamknięcie, uśpienie czy wznowienie pracy,
• przejście głównych buildów na Qt 6,
• oficjalny status Flatpaka jako kanału dystrybucji na Linuxie,
• wsparcie dla kolejnych urządzeń.

Dlaczego wydanie trwało tak długo

Na stabilną wersję trzeba było czekać wyjątkowo długo. Problemem okazały się m.in. zmiany związane z hotplugiem urządzeń HID, czyli ich wykrywaniem w trakcie pracy programu. OpenRGB musiał dostosować własny fork biblioteki hidapi, nazwany hidapi-hotplug, a także przebudować część SDK, aby kontrolery identyfikować po unikalnym identyfikatorze, a nie po pozycji na liście.

Drugim ważnym wątkiem był bezpieczeństwo sterownika używanego na Windows do dostępu do SMBus, potrzebnego m.in. do kontrolowania pamięci RAM i niektórych płyt głównych. Program opierał się na WinRing0, znanym ze swojej podatności, która w przeszłości była wykorzystywana przez wiele narzędzi sprzętowych. Taki sterownik może stać się elementem ataku typu Bring Your Own Vulnerable Driver.

W odpowiedzi projekt przeszedł na PawnIO — podpisany sterownik, który uruchamia tylko podpisane binaria przygotowane dla konkretnego kontrolera SMBus. W praktyce oznacza to większe bezpieczeństwo, ale też bardziej wymagającą instalację po stronie użytkownika Windows.

Logitech Options+ z luki do SYSTEM

Drugi temat dotyczy Logitech Options+, czyli programu używanego do konfiguracji myszy, klawiatur i innych akcesoriów Logitech. To oprogramowanie trafia na bardzo wiele komputerów z Windows, a odkryta w nim luka mogła dać atakującemu lokalną eskalację uprawnień do SYSTEM.

Podatność otrzymała identyfikator CVE-2026-12518 i została wykryta w lutym 2026 roku. Problem dotyczył wersji na Windows 11 i był związany z usługą aktualizacyjną działającą z uprawnieniami NT AUTHORITY\SYSTEM.

Jak działał błąd

Usługa aktualizacyjna komunikowała się przez named pipe dostępny dla lokalnych użytkowników. Zabezpieczenie polegało na sprawdzaniu, czy łączy się z nią oficjalny proces Logitech. Na papierze brzmi to rozsądnie, ale w praktyce nie było wystarczające: zwykły użytkownik mógł manipulować własnym procesem-agenta i użyć go jako pośrednika do wysyłania poleceń do usługi SYSTEM.

To otwierało drogę do dalszego nadużycia mechanizmu instalacji. Usługa pozwalała wskazać własną lokalizację plików instalacyjnych, a sam mechanizm nie weryfikował podpisów dostarczanych plików. W efekcie można było uruchomić własny plik wykonywalny z najwyższymi uprawnieniami.

Potencjalne skutki takiego błędu są poważne:

• instalacja dodatkowych narzędzi,
• modyfikacja chronionych plików,
• wyłączenie lub obejście części zabezpieczeń.

Co powinni zrobić użytkownicy

Choć poprawka została przygotowana wcześniej, luka została ujawniona publicznie dopiero 14 września 2026 roku. Logitech wydał już jednak aktualizacje naprawiające problem — 2.7.954611 oraz 2.7.961922 — opublikowane 19 sierpnia 2026 roku.

Użytkownicy Windows korzystający z Logitech Options+ powinni upewnić się, że mają zainstalowaną jedną z tych wersji lub nowszą.

Wniosek

Oba przypadki pokazują coś ważnego: nawet narzędzia kojarzone z wygodą i personalizacją sprzętu mogą mieć realny wpływ na bezpieczeństwo całego systemu. W przypadku OpenRGB producent postawił na dojrzalszą architekturę i bezpieczniejsze podejście do sterowników. W przypadku Logitech Options+ konieczna była szybka poprawka luki prowadzącej do pełnego przejęcia uprawnień na Windows.