KARR : une vulnérabilité Bluetooth expose plus de deux millions de systèmes antivol automobiles

Commandes radio sans authentification visible

Des chercheurs de l’University of California, San Diego, ont identifié des vulnérabilités dans le KARR Security System, un système antivol installé après-vente sur plus de 2 millions de véhicules aux États-Unis, selon leurs estimations.

Un attaquant suffisamment proche du véhicule peut communiquer avec le dispositif via Bluetooth et envoyer des commandes sans être détecté. Aucune attaque n’a été attribuée à des groupes ou à des campagnes spécifiques.

Les résultats de la recherche ont été rendus publics le 5 août 2026.

Du déverrouillage à l’immobilisation du véhicule

Les fonctions exposées ne concernent pas uniquement l’alarme. Un attaquant peut :

• déverrouiller silencieusement le véhicule ;
• désactiver le système antivol ;
• déclencher le klaxon ;
• faire clignoter les feux ;
• désactiver le démarrage.

Cette dernière action peut empêcher le conducteur de démarrer ou d’utiliser le véhicule. Le risque combine donc un accès physique et logique au véhicule, la neutralisation de sa protection et une éventuelle immobilisation.

Les versions exactes du KARR Security System concernées n’ont pas été communiquées. Aucun identifiant CVE ni score CVSS n’a par ailleurs été publié.

Comment identifier les véhicules concernés

L’indicateur le plus évident est l’autocollant « KARR » apposé sur la vitre côté conducteur. Sa présence invite à vérifier l’état du système et la disponibilité éventuelle d’une mise à jour.

On ignore si tous les dispositifs installés disposent de la même configuration ou sont vulnérables de la même manière.

La mise à jour du système comme principale mesure

Les propriétaires doivent contacter KARR ou l’installateur du système afin de demander l’application du correctif. Une procédure de mise à jour est présentée à la fin de la vidéo associée à la recherche, à partir de 19 min 10 s.

Une mise à jour du firmware via une application mobile a également été évoquée, mais cette méthode n’est pas confirmée comme procédure officielle. En l’absence d’instructions vérifiées, il est préférable de s’adresser au fabricant ou à un installateur agréé.