Smart lock igloohome : une vulnérabilité dans l’application Android peut exposer les serrures à des intrusions

Le 28 juillet 2026, la Cybersecurity and Infrastructure Security Agency (CISA) a publié un avis (ICSA-26-209-06) signalant une faille de sécurité dans l'application mobile igloohome pour Android. L'information, apparue le 30 juillet, concerne la possibilité pour un utilisateur malveillant d'obtenir un accès non autorisé aux fonctions backend et, potentiellement, aux serrures intelligentes gérées par l'application.

Ce que contient le code de l’application

La vulnérabilité, enregistrée sous le numéro CVE-2026-16581, est classée comme Inclusion of Sensitive Information in Source Code (CWE-540). En substance, l'application igloohome pour Android (version 3.2.3 et antérieures) incluait dans son code source des informations confidentielles, telles que des identifiants ou des jetons, qui pouvaient être extraites par un attaquant. Selon l'analyse, les données exposées permettent de contourner les contrôles d'authentification et d'interagir avec les services backend du fabricant.

Le score CVSS v3.1 est de 5.3 (MOYEN), avec un vecteur réseau, une complexité faible et aucune authentification requise. La version 4.0 de la norme porte le score à 6.9, toujours dans la plage moyenne, soulignant un impact local sur la confidentialité. Aucun privilège ni interaction utilisateur n'est requis.

Qui est à risque et quelles conséquences

Les serrures intelligentes igloohome sont utilisées dans des infrastructures commerciales à l'échelle mondiale : hôtels, bureaux, résidences temporaires. L'application Android fait office de clé numérique pour déverrouiller et gérer les accès. Un individu malveillant qui extrairait les informations sensibles du code pourrait ainsi :

• Obtenir accès aux panneaux de contrôle ou aux API backend.
• Compromettre la configuration des serrures.
• Potentiellement, déverrouiller des portes sans autorisation.

Au moment de la publication de l'avis, la CISA n'a pas détecté d'exploitation active de la faille. Cependant, la nature de l'exposition – des données directement incluses dans le code source – rend l'attaque relativement simple à automatiser une fois que les informations auront été rendues publiques.

Pas de correctif, mais des contre-mesures immédiates

Igloohome n'a pas encore publié de correctif spécifique pour la vulnérabilité. Dans le bulletin ICSA-26-209-06, la CISA recommande une série de mesures défensives pour limiter le risque en attendant une mise à jour officielle :

• Isoler les dispositifs de contrôle du réseau Internet, en les plaçant derrière un pare-feu et des réseaux isolés.
• Utiliser des VPN à jour pour les éventuelles connexions à distance.
• Effectuer des analyses d'impact et suivre les bonnes pratiques pour la protection des systèmes de contrôle industriels (ICS), disponibles sur le site cisa.gov/ics.

Ces mesures sont génériques et conçues pour les environnements ICS, mais elles s'appliquent également aux architectures dans lesquelles les serrures intelligentes sont déployées. L'avis contient également des avertissements sur l'ingénierie sociale et le phishing, bien qu'ils ne soient pas directement liés au mécanisme d'exploitation de la CVE-2026-16581.

La découverte et le contexte

La vulnérabilité a été signalée à la CISA par Vincent C., chercheur chez CodeVispera, une société spécialisée dans l'analyse de code et la sécurité des applications. Cette découverte souligne l'importance critique du processus de revue de code avant la publication, en particulier pour les applications qui contrôlent des appareils physiques connectés.

En attendant un correctif de la part du fabricant, les utilisateurs des serrures igloohome doivent vérifier qu'ils ont désactivé l'accès direct depuis Internet aux contrôleurs et appliqué les mesures d'atténuation suggérées. Cette affaire rappelle que la sécurité des serrures intelligentes ne dépend pas seulement de la robustesse matérielle, mais aussi de la qualité du logiciel qui les gère.