Sicherheitslücke?

Wenn das was der Hersteller sagt: 

"Der Hersteller betont, dass nur Geräte gefährdet gewesen seien, bei
denen das Passwort des Webservers nicht gesetzt oder ein unsicherer
Provisionierungs-Server eingesetzt worden sei."

stimmt, dann frage ich mich, wo hier die Sicherheitslücke ist? Mit
einem Web-Interface ohne Passwort oder einem unsicheren
Provisionierungsserver kann ich die Kontrolle über *jedes* Gerät
übernehmen, das ist doch eine Binsenweisheit und Schuld des Admins.

Wo ist jetzt hier die Sicherheitslücke? Oder lügt der Hersteller?