Avis de la CISA : Multiples vulnérabilités dans l'ECU de frein Bendix EC80

La CISA a publié un avis le 25 août 2026, détaillant trois vulnérabilités dans l'ECU de frein Bendix EC80, un composant utilisé dans les systèmes de freinage des véhicules commerciaux. Les vulnérabilités sont : CVE-2026-67560 (débordement de tampon basé sur la pile, CVSS 7.5), CVE-2026-68967 (écriture hors limites, CVSS 6.5) et CVE-2026-71396 (utilisation d'identifiants codés en dur, CVSS 5.4). Une exploitation réussie pourrait permettre à un attaquant de faire planter l'ECU, d'exécuter du code arbitraire, d'injecter du trafic CAN arbitraire ou de désactiver des fonctions de sécurité telles que l'ABS, l'assistance à la direction, le compteur de vitesse, le changement de vitesse et le contrôle automatique de traction. Les produits concernés incluent plusieurs versions des séries EC80ESP et EC80ESP+. Bendix a fourni des mises à jour du firmware pour chaque version concernée. La CISA recommande aux utilisateurs d'appliquer les mises à jour et de suivre des mesures défensives pour minimiser les risques. Aucune exploitation publique n'a été signalée au moment de la publication.