Quiconque se trouve à portée Bluetooth de ce robot humanoïde peut y obtenir les droits root — sans appairage, sans mot de passe, sans avertissement

Le chercheur en sécurité Olivier Laflamme a publié le 27 août deux chaînes indépendantes d'exécution de code à distance en root visant l'humanoïde Unitree G1 EDU, référencées CVE-2026-76639 et CVE-2026-76640. La seconde est la plus inquiétante. Le robot utilise le Bluetooth Low Energy pour sa configuration initiale — on lui transmet par les ondes le nom et le mot de passe du Wi-Fi — et la caractéristique qui reçoit ces données, 0xFFE2, accepte les écritures avec une simple permission d'écriture. Ni appairage ni authentification. Depuis cette unique ouverture, un attaquant à portée Bluetooth obtient les droits root sur l'ordinateur de locomotion du robot, la machine qui décide où vont ses jambes. La première chaîne est de proximité réseau et passe par deux composants du robot lui-même, chat_go et bashrunner. Unitree a corrigé en juillet une vérification distincte de propriété côté cloud ; pour ces deux failles, aucune version de micrologiciel corrigée n'a été confirmée publiquement.

✓ Vérifié · 4 sources

Actus liées