Aspirateurs Shark : une faille transforme les robots en espions à roulettes - SharkNinja tarde à patcher

Un chercheur affirme avoir alerté SharkNinja dès mars sur une vulnérabilité permettant de prendre le contrôle à distance des aspirateurs robots Shark, d'accéder à leur caméra et d'exfiltrer des données sensibles. Les correctifs se font attendre.

Les faits

Selon le Journal du Geek, un chercheur a identifié une vulnérabilité affectant des aspirateurs robots de la marque SharkNinja (marque grand public bien implantée en Amérique du Nord et en Europe). L'exploitation permettrait à un attaquant :

• de piloter à distance le robot ;
• d'activer la caméra embarquée ;
• d'exfiltrer des données (cartographie de l'intérieur du logement, potentiellement identifiants Wi-Fi ou tokens de session, selon les modèles).

Le chercheur affirme avoir alerté le fabricant dès mars 2026. Plusieurs mois plus tard, les correctifs restent partiels ou absents selon les modèles.

Qui est impacté ?

L'article ne détaille pas la liste exhaustive des références affectées. À la date où nous écrivons, il faut donc considérer que l'ensemble de la gamme Shark connectée est potentiellement concerné, dans l'attente d'un advisory officiel de SharkNinja précisant les firmwares vulnérables et les correctifs disponibles.

Aucun identifiant CVE n'a été rendu public à cette date.

Contexte : IoT domestique = angle mort persistant

Cet incident vient s'inscrire dans un continuum bien documenté :

• Les aspirateurs robots embarquent désormais caméras, LIDAR, micros et une cartographie détaillée du domicile - soit les données de surveillance d'un usager idéal.
• Le time-to-patch d'un fabricant hardware consumer reste très supérieur à celui d'un éditeur logiciel : plusieurs mois de délai entre report responsable et correctif ne sont pas exceptionnels.
• Le rapport AIVD/MIVD documente combien l'IoT mal patché est aujourd'hui exploité à des fins de renseignement - pas seulement par des scripts kiddies.

À faire maintenant

Pour les utilisateurs de robots Shark connectés, dans l'attente d'un correctif officiel :

1. Isoler le robot sur un VLAN invité (SSID Wi-Fi séparé, pas d'accès au reste du réseau domestique) ;
2. Couper l'accès Internet sortant du robot si le fabricant permet un mode local - ou bloquer ses adresses de télémétrie au niveau du routeur ;
3. Physiquement obturer la caméra (autocollant) quand le robot n'est pas en mission ;
4. Vérifier régulièrement la page support SharkNinja pour un firmware avec correctif.

Ce qu'il faut retenir

Pas encore d'exploitation active documentée dans la nature - mais un délai de patch qui frôle les quatre mois malgré une alerte responsable. Si l'affaire monte, elle pourrait relancer le débat, latent en Europe, sur l'obligation d'un SBOM et d'un délai maximal de correctif pour les objets connectés grand public, comme le prévoit le Cyber Resilience Act à horizon 2027.