Ce qui s’est passé
Cinq mois après l’exploit UniPwn, trois nouvelles vulnérabilités visant le Unitree Go2 ont été enregistrées dans la base américaine NVD les 26 et 27 février 2026 :
- CVE-2026-27509 (26/02/2026, gravité 8,0) : sur les firmwares 1.1.7 à 1.1.9 (et 1.1.11 pour l’EDU), un canal de communication interne (DDS) accepte des messages sans authentification, ce qui permet d’exécuter du code Python avec les droits administrateur.
- CVE-2026-27510 (26/02/2026, gravité 8,8 selon NVD, 9,6 « critique » selon VulnCheck) : sur les firmwares 1.1.7 à 1.1.11, les programmes utilisateur sont exécutés sans contrôle d’intégrité.
- CVE-2026-1442 (27/02/2026, gravité 7,8) : sur le Go2 Air, Pro, X, EDU et le Go1, le chiffrement des mises à jour du micrologiciel peut être cassé.
Le contexte
Ces failles s’ajoutent à celles de septembre 2025 (UniPwn, CVE-2025-35027 et suivantes), qui permettaient de prendre le contrôle d’un robot via le Bluetooth. Unitree avait déclaré le 29 septembre 2025 avoir corrigé « la majorité » des problèmes ; les chercheurs avaient contesté ce point début octobre 2025. La chronologie complète est dans notre dossier failles de sécurité Unitree.
Ce que ça change pour un lecteur français
- Les versions de firmware visées (jusqu’à 1.1.11) sont récentes : un Go2 acheté en 2025 ou 2026 est potentiellement concerné.
- Au 19/10/2026, nous n’avons trouvé aucun avis de sécurité d’Unitree indiquant une version corrigée.
- Pour une école, un laboratoire ou une entreprise : faites fonctionner le robot sur un réseau isolé et demandez par écrit au revendeur l’état des correctifs.
- Pour un particulier : ne connectez pas le robot au réseau Wi-Fi principal du foyer, éteignez-le quand il ne sert pas.
Ce qu’on ne sait pas
- Si les firmwares distribués en Europe depuis mars 2026 corrigent ces failles.
- Si les failles ont été exploitées en dehors de démonstrations de chercheurs.
Nous mettrons cette page à jour dès qu’Unitree ou un revendeur publiera une information vérifiable.
Sources
consultées le 19/10/2026