Scanners de codes-barres : RCE Bluetooth, CVE-2026-4272 chez Honeywell

Kaspersky Security Services a publié le 20 octobre un audit de l'écosystème numérique d'un entrepôt moderne. Le résultat le plus exploitable pour les opérateurs : des scanners de codes-barres sans fil peuvent servir de point d'entrée réseau via Bluetooth, avec exécution de code à distance sans interaction utilisateur. Le cas est désormais documenté par une CVE chez Honeywell — CVE-2026-4272 — et par un correctif firmware.

La source primaire est l'article Securelist « The journey of a paper unicorn », signé Sergey Sidorov, Haidar Kabibo et Victor Zvarykin. Le relais francophone est UnderNews.

Ce que montre la recherche

Un scanner de codes-barres sans fil se présente à l'hôte comme un clavier. Kaspersky écrit avoir découvert qu'« un attaquant à portée pouvait injecter des frappes clavier dans l'hôte connecté et potentiellement obtenir une exécution de code à distance sans interaction de l'utilisateur ». Le schéma a été observé « chez plusieurs fabricants, dont par exemple des appareils Honeywell ». Préalable à l'attaque : récupérer l'adresse Bluetooth de la base, par exemple par interception passive du trafic.

Second vecteur décrit : un code-barres ou QR malveillant qui, une fois scanné, injecte lui aussi des frappes clavier. L'audit mentionne en parallèle une imprimante thermique Zebra ZQ630 dont une mauvaise configuration d'appairage Bluetooth permettait de téléverser et d'exécuter une application, et un contournement d'autorisation côté WMS Oracle (CVE-2026-70774, Oracle E-Business Suite, classé « High »). Autant de chemins qui transforment un terminal périphérique en premier accès au réseau de l'entrepôt, puis potentiellement au réseau OT et au système de gestion.

La CVE, vérifiée

CVE-2026-4272 vise des scanners portables Honeywell et relève d'une absence d'authentification (CWE-306) : un attaquant à portée Bluetooth de la base peut exécuter des commandes système sur l'hôte connecté sans s'authentifier. Détails à vérifier sur NVD :

• Vecteur CVSS 3.1 : AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N, soit 8,1. Kaspersky, de son côté, note le défaut 9,4 — l'écart tient à la façon de coter l'exposition, à surveiller.
• Firmwares de base corrigés : C1 (Ingenic x1000) à partir de GK000432BAA, D1 (Ingenic x1600) à partir de HE000085BAA, A1/B1 (IMX25) à partir de BK000763BAA_BK000765BAA_CU000101BAA.
• Découverte : créditée à Kaspersky et au chercheur Haidar Kabibo.

Portée réelle, sans emballement

À ce stade, l'évaluation SSVC de la CISA ne relève aucune exploitation connue et juge le défaut non automatisable ; l'EPSS est à 0,04 %. L'attaque suppose une proximité radio et, pour la voie « adresse de la base », une phase d'interception préalable. Ce n'est pas un scénario de masse à distance — c'est un risque ciblé contre des sites logistiques et industriels où ces terminaux sont partout et rarement inventoriés comme des hôtes à sécuriser.

Que faire

1. Inventoriez les scanners, PDA et imprimantes Bluetooth de vos sites, et rattachez-les à vos programmes de patch et d'EDR — pas seulement les postes et serveurs.
2. Pour les scanners Honeywell, appliquez les firmwares corrigés ci-dessus ; confirmez la version de base contre l'avis constructeur.
3. Désactivez le Bluetooth inutilisé et segmentez le réseau de l'entrepôt du reste de l'OT et du WMS.
4. Appliquez la sécurité des ports (802.1X / EAP-TLS) et des audits radiofréquence réguliers, comme le recommande Securelist.

Pourquoi c'est à retenir

Les terminaux de saisie « bêtes » — scanners, lecteurs, imprimantes — sont traités comme des périphériques, pas comme des hôtes. L'audit de Kaspersky rappelle qu'un appareil qui parle « clavier » à une machine du réseau est une surface d'exécution, et qu'une liaison Bluetooth sans authentification suffit à transformer un quai de chargement en point d'entrée vers le WMS. Le travail est à transmettre aux équipes logistique et OT, pas seulement IT.