Trois équipements, trois CVE critiques publiées par NVD les 14 et 15 octobre 2026, et trois réponses différentes : un correctif existe (Wavlink), aucun correctif n'est annoncé (Jooan), le produit est en fin de vie (Lantronix).
C'est le résumé de la sécurité IoT : la question n'est pas seulement « quelle version installer », mais « est-ce que cet équipement peut encore être corrigé, et sinon, qu'est-ce que je fais de lui ».
| Équipement | CVE | CVSS | Publication NVD | Problème | Statut |
|---|---|---|---|---|---|
| Wavlink WL-WN530BE2-A | CVE-2026-110957 | 10.0 | 2026-10-15 | Injection de commande à la connexion | Firmware corrigé disponible |
| Jooan JA-A12 | CVE-2026-111281 | 9.8 | 2026-10-15 | Identifiants codés en dur → root | Pas de correctif cité par NVD |
| Lantronix XPress-DR / XPress-DR-I | CVE-2026-109439 | 9.8 | 2026-10-14 | Protocole de configuration sans authentification | Fin de vie (février 2025) |
Aucune n'est au CISA KEV à la date de rédaction.
Wavlink WL-WN530BE2-A — CVE-2026-110957
| Champ | Valeur |
|---|---|
| CVSS 3.1 | 10.0 (CRITICAL) |
| Vecteur | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| Bornes NVD | jusqu'à M30BE2_V250604 |
| Firmware corrigé | 2026-09-24-841a51c6d5 (selon NVD) |
Une injection de commande système dans le traitement de la connexion, déclenchable à distance et sans authentification. NVD indique qu'un exploit est public. Sur un routeur ou point d'accès, ça veut dire contrôle complet de l'équipement — et de tout le trafic qui le traverse.
Point positif : Wavlink a confirmé la faille et indique l'avoir corrigée dans le firmware actuel, où le script de connexion n'est plus lancé via un shell mais avec un vecteur d'arguments, et où l'adresse client est contrôlée. C'est la bonne correction — la même que pour n'importe quel code qui appelle une commande système.
Actions :
- Installer le firmware 2026-09-24-841a51c6d5 (ou ultérieur), depuis le site de Wavlink uniquement.
- Désactiver l'administration depuis le WAN si elle est active.
- Après mise à jour, changer le mot de passe d'administration et vérifier la configuration (DNS, redirections de ports, comptes).
Caméras Jooan JA-A12 — CVE-2026-111281
| Champ | Valeur |
|---|---|
| CVSS 3.1 | 9.8 (CRITICAL) |
| Vecteur | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Firmwares concernés (NVD) | 009_20171107, 05.02.31.105 |
| Version corrigée | non publiée par NVD |
Les caméras embarquent des identifiants codés en dur qui permettent à un attaquant non authentifié de faire exécuter des commandes en root par un service de diagnostic. Contrôle total de la caméra : flux vidéo, configuration, et point d'appui sur le réseau local.
Un des firmwares cités date de 2017. NVD ne mentionne pas de correctif ; consulte Jooan, mais ne compte pas trop dessus. Des identifiants codés en dur ne se changent pas depuis l'interface : tant qu'un firmware corrigé n'existe pas, il n'y a pas de mitigation sur l'équipement lui-même.
Actions :
- Vérifier le firmware de chaque caméra JA-A12.
- Ne jamais exposer ces caméras à Internet : pas de redirection de port, pas d'UPnP.
- Les isoler dans un VLAN dédié, sans accès au reste du réseau, avec seulement le flux vers l'enregistreur autorisé.
- Prévoir leur remplacement par un modèle maintenu.
Lantronix XPress-DR / XPress-DR-I — CVE-2026-109439
| Champ | Valeur |
|---|---|
| CVSS 3.1 | 9.8 (CRITICAL) |
| Vecteur | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Bornes NVD | firmware jusqu'à 8.1.0.0 |
| Statut | fin de vie / fin de support en février 2025 |
Ces serveurs de périphériques série-Ethernet (famille CoBos) relient des équipements industriels ou anciens au réseau IP. Leur protocole de configuration n'exige aucune authentification : un attaquant sur le réseau peut lire la configuration et la réécrire de façon persistante — adresse IP et règles de redirection des canaux série — avec un effet qui survit aux redémarrages.
Concrètement : détourner les données série vers une autre destination, ou couper la liaison d'un équipement de terrain.
La gamme est en fin de vie depuis février 2025. Il n'y aura pas de correctif. La seule réponse durable est le remplacement.
Actions :
- Recenser les XPress-DR encore en service — ils sont souvent dans des armoires oubliées.
- Les isoler dans un segment réseau dédié, avec filtrage strict : seul l'hôte qui consomme le flux série doit pouvoir les joindre.
- Vérifier leur configuration (IP, destinations de redirection) contre la configuration attendue.
- Planifier le remplacement par un modèle supporté.
Détection commune
- Inventaire réseau : scanner les segments pour identifier ces modèles (bannières, adresses MAC constructeur).
- Flux sortants depuis les caméras et équipements IoT vers Internet : ils ne devraient en avoir que vers des destinations connues.
- Changements de configuration non documentés : DNS d'un routeur, destination d'une redirection série.
- Trafic entre le segment IoT et le reste du réseau : il devrait être quasi nul.
Pourquoi surveiller en continu vos équipements IoT
Routeurs, caméras, passerelles série : ils restent en place des années, souvent sans propriétaire clair, et leur fin de vie arrive sans prévenir personne. Une CVE critique sur un produit en fin de vie, c'est un risque permanent tant qu'il n'est pas remplacé.
Avec cveo.tech, déclare aussi tes équipements IoT dans ton parc et reçois une alerte dès qu'une CVE critique les touche.