Xiiaozet LK100W : trois vulnérabilités, deux critiques, le contrôle complet de l'appareil est à risque

Le 27 août 2026, la CISA a publié un avis concernant trois vulnérabilités dans le dispositif Xiiaozet LK100W, fabriqué par la société chinoise Xiiaozet. Les failles, identifiées par trois CVE, permettent à un attaquant de prendre le contrôle total de l’appareil. Deux d’entre elles sont classées comme critiques et peuvent être exploitées à distance sans aucune authentification.

L’avis CISA du 27 août et les trois vulnérabilités

Le bulletin, référencé ICSA-26-239-01, a été publié le 27 août 2026. Il indique que toutes les versions du firmware LK100W antérieures à la version 2.1.240 sont affectées. Les trois vulnérabilités sont :

• CVE-2026-78037 – OS Command Injection (CWE-78), gravité élevée. Vecteur CVSS 3.1 : AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.
• CVE-2026-78239 – Missing Authentication for Critical Function (CWE-306), gravité critique. Vecteur CVSS 3.1 : AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
• CVE-2026-76943 – Authentication Bypass Using an Alternate Path or Channel (CWE-288), gravité critique. Vecteur CVSS 3.1 : AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

En détail, CVE-2026-78037 permet à un attaquant authentifié d’injecter des commandes système via l’interface web de gestion, exécutant du code arbitraire avec des privilèges élevés. CVE-2026-78239 expose une fonction critique de gestion sans exiger d’authentification, permettant à un attaquant distant d’activer des services administratifs réservés. CVE-2026-76943 contourne les contrôles d’authentification via un canal alternatif, offrant des capacités d’exécution de commandes non autorisées.

Comment un attaquant peut les exploiter : détails techniques et scores

Les trois vulnérabilités affectent des composants différents de l’appareil, mais convergent vers le même résultat : la compromission totale.

CVE-2026-78037 est une injection de commandes classique dans le système d’exploitation. L’attaquant doit être authentifié, mais une fois à l’intérieur, il peut exécuter des commandes arbitraires avec des privilèges élevés. Ce type de faille se produit lorsque l’application web transmet des entrées non validées à un shell système. L’impact est élevé sur la confidentialité, l’intégrité et la disponibilité.

Les deux autres vulnérabilités suppriment la barrière de l’authentification. CVE-2026-78239 permet d’invoquer une fonction critique sans identifiants : un attaquant distant peut activer des services administratifs, obtenant ainsi un accès non autorisé. CVE-2026-76943 utilise un chemin ou un canal alternatif pour contourner les contrôles en place. Les deux ont un score CVSS 3.1 de 9,8 et un score CVSS 4.0 de 9,3, soit le niveau de gravité maximal.

À noter une petite incohérence dans le nom du produit : la description de CVE-2026-76943 mentionne « Xiiaozet LK100Wt », alors que les métadonnées officielles indiquent « LK100W ». Il s’agit très probablement d’une coquille typographique.

Versions, produits et distribution : qui doit agir

Les versions concernées sont toutes celles du firmware LK100W antérieures à la version 2.1.240. Le fabricant est Xiiaozet, basé en Chine. Le secteur indiqué par la CISA est celui des technologies de l’information. La distribution est mondiale.

On ne sait pas exactement combien d’appareils sont exposés. Cependant, s’agissant d’un produit réseau destiné aux infrastructures informatiques, le risque concerne les organisations qui l’utilisent comme dispositif de gestion ou de contrôle. L’avis ne fournit pas de détails sur la base installée.

Aucun correctif spécifique n’a été indiqué par la CISA au moment de la publication. L’avis ne contient pas d’instructions correctives du fabricant. Cela place les utilisateurs dans une position délicate : ils doivent appliquer des mesures d’atténuation générales en attendant une mise à jour du firmware.

Atténuations : comment se défendre sans correctif

La CISA recommande de minimiser l’exposition réseau de ces appareils. En particulier :

• Éviter l’accès direct depuis Internet.
• Placer les appareils derrière un pare-feu, en les isolant des réseaux d’entreprise.
• Si un accès à distance est nécessaire, utiliser des VPN mis à jour à la dernière version.
• Effectuer une analyse d’impact et une évaluation des risques avant d’appliquer des mesures défensives.

L’agence suggère également de consulter les bonnes pratiques pour la sécurité des systèmes de contrôle sur cisa.gov/ics et le document « Improving Industrial Control Systems Cybersecurity with Defense-in-Depth Strategies ». Pour la détection et l’atténuation des intrusions ciblées, le document technique ICS-TIP-12-146-01B est cité.

Aucune exploitation publique ciblant spécifiquement ces vulnérabilités n’a été signalée au moment de la publication. Cependant, la combinaison de deux failles critiques sans authentification et d’une troisième à fort impact fait de cet appareil une cible attrayante. Les administrateurs devraient surveiller les journaux pour détecter toute activité suspecte et signaler toute anomalie à la CISA.

Signalement et état d’exploitation : aucune attaque connue, mais restez vigilants

Les vulnérabilités ont été signalées à la CISA par Byron Guernsey d’Okachobi, LLC. Le chercheur a identifié les trois failles et les a communiquées à l’agence, qui a ensuite publié l’avis.

À la date du 27 août 2026, la CISA n’a reçu aucun signalement d’exploitation active. L’inscription au catalogue KEV (Known Exploited Vulnerabilities) n’est pas mentionnée dans l’avis. Cela signifie qu’à l’heure actuelle, il n’existe aucune preuve d’attaques en cours. Cependant, l’histoire de la cybersécurité montre que les vulnérabilités critiques sans correctif peuvent être exploitées rapidement une fois rendues publiques.

Les utilisateurs du Xiiaozet LK100W doivent se préparer à une mise à jour du firmware dès qu’elle sera disponible. En attendant, l’isolation réseau et la segmentation restent les défenses les plus efficaces. La recommandation de la CISA concernant l’ingénierie sociale – ne pas ouvrir les liens ou les pièces jointes des courriels non sollicités – doit également s’appliquer dans ce contexte, car l’accès initial pourrait survenir via un hameçonnage.

En résumé : trois vulnérabilités, deux critiques, une élevée. Le contrôle total de l’appareil est à la portée d’un attaquant. Le mot d’ordre est d’isoler, de surveiller et de mettre à jour dès que possible.