Un shell root sur une TV Samsung prouve que votre salon abrite un PC jamais mis à jour

Laisseriez-vous un ordinateur Linux connecté au réseau dans votre salon sans jamais penser à le mettre à jour pendant dix ans ? C'est, à peu de chose près, ce que nous faisons presque tous avec nos téléviseurs connectés.

L'élément déclencheur est un dépôt GitHub dont l'auteur affirme avoir conçu des exploits root fonctionnels pour deux téléviseurs Samsung qu'il possède: un QN90B acheté en 2022 et un QN90F acheté en juillet 2026. Il s'en sert pour reconfigurer la télécommande et piloter son ordinateur de bureau. Selon lui, il lui a fallu environ une journée avec Codex en mars 2026 pour l'ancien modèle, et environ trois heures avec une version plus récente de Codex pour le nouveau. Le dépôt précise que la chaîne part d'une injection via un nom de paquet, référencée SVE-2025-50109, et que les résultats ne valent que pour des modèles et des firmwares précis: tous les téléviseurs Samsung ne sont donc pas concernés.

Le plus inquiétant n'est pas le piratage, c'est le temps qui passe

Soyons d'abord justes. Il s'agit d'un projet de propriétaire, et le point d'entrée passe par les outils de développement de Samsung. Bishop Fox a analysé une faille d'injection de commandes dans le service Samsung Debug Bridge et a jugé le risque direct minime: il faut que le mode développeur soit activé et qu'un attaquant se trouve à l'adresse IP de l'hôte configuré. Personne ne prendra le contrôle de votre téléviseur depuis un autre continent à cause de cela.

Mais regardez la tendance. En avril, des chercheurs de Calif ont décrit comment Codex, à partir d'un shell dans l'application de navigation du téléviseur, est parvenu à obtenir les droits root. Il a trouvé des nœuds de périphérique accessibles en écriture à tous, dont l'un permettait à l'espace utilisateur de mapper la mémoire physique brute, puis a réécrit les identifiants du processus du navigateur. Les chercheurs affirment ne lui avoir fourni ni faille ni marche à suivre, même si des humains ont parfois dû le réorienter. À notre avis, c'est là la vraie nouvelle: le coût de la découverte de ce type de failles chute rapidement, tandis que le téléviseur posé sur votre meuble reste figé dans le temps.

Et ces failles n'ont rien de subtil. Une interface du noyau qui donne la mémoire physique à n'importe quel processus est une erreur de conception, pas un bug exotique. Le téléviseur étudié fonctionnait avec un noyau Linux 4.1.10. Nous ignorons combien d'appareils de ce type existent, mais les téléviseurs comptent souvent parmi les ordinateurs les plus durables d'un foyer.

Les fabricants de smartphones ont appris la leçon; ceux de téléviseurs sont en retard

Pour les smartphones, le contrat est à peu près compris: correctifs mensuels, trimestriels ou semestriels et, comme le note eSecurityPlanet, les anciens smartphones Samsung peuvent passer à des mises à jour moins fréquentes avec l'âge. On n'aime pas forcément, mais on connaît la règle du jeu.

Pour les téléviseurs, une version de ce contrat n'existe que depuis peu. D'après la page des mises à jour de sécurité de samsungtvbounty.com, les téléviseurs connectés et moniteurs lancés à partir de janvier 2023 bénéficient de mises à jour de sécurité pendant 7 ans à compter de leur lancement initial. C'est un engagement réel, et il faut le saluer. Mais voyez ce qu'il implique: le QN90B de cette histoire, acheté en 2022, n'est pas couvert par cette promesse. L'appareil dont les droits root ont été obtenus en une journée environ est un achat de 2022.

La documentation ne permet pas non plus de dire à quelle vitesse chacune de ces failles est corrigée sur un modèle donné. Cette opacité fait partie du problème.

Ce qui devrait se passer

Notre position est simple. Les engagements de mise à jour pour les téléviseurs devraient être traités comme ceux des smartphones: un minimum garanti, indiqué au moment de la vente, avec la date de fin visible. Un fil de discussion de fin 2023 relevait que Samsung offrait alors le plus long support, 5 ans, et qu'une obligation légale pour les appareils connectés arriverait en avril 2024. Nous ne pouvons pas vérifier les détails de cette règle avec nos sources: voyez-y une piste, pas un fait. La direction est néanmoins la bonne: c'est la réglementation, et non la bonne volonté, qui devrait faire d'une promesse de 7 ans un plancher plutôt qu'une exception.

Quelques conseils pratiques:

• Gardez les mises à jour automatiques activées et vérifiez la durée de support du modèle avant l'achat.
• N'activez pas le mode développeur sans nécessité et ne le laissez jamais activé dans des lieux partagés. Bishop Fox recommande le mode kiosque pour les téléviseurs publics.
• Placez le téléviseur sur un réseau invité ou distinct si votre routeur le permet.

Le salon est devenu une salle de serveurs que personne n'administre. Un shell root sur un téléviseur est aujourd'hui un passe-temps. L'industrie ne devrait pas attendre que cela devienne autre chose pour traiter l'écran comme l'ordinateur qu'il est.