Dans cet article Dans cet article
Dix-neuf jours. C’est le temps qu’il a fallu à Nintendo pour refermer le jailbreak ns2jb de la Switch 2, publié le 22 octobre et bouché par la mise à jour 23.5.0 du 10 novembre. Sony avait fait de même un mois plus tôt sur la PS5. Au même moment, les propriétaires de serveurs Plex, de box Android TV et de clés d’API d’IA découvraient que le correctif ne réglait presque rien pour eux.
Une faille est une erreur de conception qui permet de faire exécuter à un appareil ce que son fabricant n’a pas prévu. Le correctif la referme, sans rien dire de ce qui s’est passé avant. Mis côte à côte, les incidents de cet automne dessinent une règle que personne n’a écrite : le correctif s’impose quand la faille menace le constructeur, et il reste à votre charge, nettoyage et facture compris, quand elle vous menace vous.
Une échéance européenne fixée à décembre 2027 pourrait la renverser. D’ici là, cette asymétrie tient-elle vraiment sur pièces ?
Six failles en deux mois, deux traitements opposés
Côté constructeurs, les deux consoles du moment ont été refermées en quelques semaines. Côté utilisateurs, la liste des gestes à faire s’allonge à chaque incident :
- 17 octobre 2026 : OpenCode reconnaît une intrusion dans sa console en ligne, et des clés d’API d’IA servent à d’autres, aux frais de leurs propriétaires ;
- 21 octobre 2026 : la faille de l’hyperviseur de la PS5, signalée le 15 septembre contre une prime de 50 000 dollars, est corrigée par le firmware 14.20 ;
- 29 octobre 2026 : Socket recense 319 extensions Chrome qui détournent les recherches de 13,4 millions de navigateurs ;
- 2 novembre 2026 : Google démantèle le botnet XCPE, soit 1,3 million de box Android TV piégées par leur fabricant ;
- 6 novembre 2026 : QNAP signale des NAS compromis par Plex2Shell, et la mise à jour ne suffit pas à nettoyer une machine visitée ;
- 10 novembre 2026 : la version 23.5.0 de la Switch 2 ferme la faille exploitée par ns2jb, dix-neuf jours après la publication de l’outil.
Ensemble, ces affaires montrent que la vitesse du correctif n’est pas le vrai écart : Plex appelait à installer sa version corrigée dès un avis du 1er septembre, six semaines avant les premières attaques. La différence se joue dans la façon dont la mise à jour atteint l’appareil.
Une mise à jour imposée d’un côté, facultative de l’autre
Sur console, le correctif n’a rien d’une option. Selon les spécialistes de la scène cités par tbreak, GTA 6 exigera le dernier firmware de la PS5 et une connexion au PlayStation Network le jour de sa sortie, le 19 novembre. Pour un jeu affiché à 79,99 €, la plupart des joueurs accepteront la version 14.20 et renonceront à Linux.
Nintendo applique la même logique par d’autres moyens. Des joueurs restés en 23.0.1 ont signalé le 12 novembre que SmileBASIC 4 et Civilization VII refusaient de se lancer sans mise à jour, une restriction que le constructeur n’a pas confirmée. SmileBASIC 4 avait déjà quitté l’eShop le jour du jailbreak.
Un serveur Plex, lui, attend que son propriétaire agisse. D’après Aviatrix, plus de 36 000 serveurs restaient joignables depuis Internet au moment des attaques, et la version 1.43.3 s’installait à l’initiative de chacun, depuis le centre d’applications du NAS. Le traitement suit l’intérêt de celui qui écrit le logiciel.
Qui fait le ménage quand la faille est refermée
Le tableau ci-dessous reprend cinq incidents, avec pour chacun la partie menacée, le délai du correctif et le reste à faire une fois la faille fermée :
| Faille | Partie menacée | Du signalement au correctif | Ce qui vous reste à faire |
|---|---|---|---|
| ns2jb (Switch 2) | Nintendo, extraction des jeux | 19 jours (22 octobre au 10 novembre) | Rien, la mise à jour s’impose pour jouer |
| Hyperviseur PS5 | Sony, système verrouillé | 36 jours (15 septembre au 21 octobre) | Rien, GTA 6 exigera le firmware récent |
| Plex2Shell | Propriétaires de serveurs | 36 jours (27 juillet au 1er septembre) | Réinstaller le serveur, déconnecter les appareils, changer le mot de passe |
| XCPE | Propriétaires de box | Aucun correctif pour les boîtiers vendus | Remplacer la box, le code se réinstalle au redémarrage |
| OpenCode Console | Clients de la console | Intrusion reconnue le 17 octobre | Révoquer chaque clé, contester les débits |
Le chiffre qui frappe apparaît dans deux lignes opposées. Plex a mis 36 jours à corriger, exactement comme Sony, ce qui écarte l’idée d’un éditeur négligent face à des constructeurs zélés.
Tout l’écart tient dans la dernière colonne : sur console, le joueur n’a aucun ménage à faire, alors que les victimes de Plex2Shell, de XCPE ou d’OpenCode héritent d’une procédure, quand elle existe.
Google, OpenAI et Capcom ont aussi agi
La thèse a ses contre-exemples, et ils pèsent. Google n’a pas seulement publié un rapport sur XCPE : il a coupé les serveurs de commande avec la police japonaise, privant les pirates d’au moins 10 millions d’autres appareils, puis banni Videostrong de son programme de certification.
Côté IA, Anthropic et Google ont bloqué d’eux-mêmes les clés jugées exposées, et OpenAI a indiqué rembourser les crédits consommés pendant l’attaque contre OpenCode. Capcom, de son côté, a réinitialisé les 196 comptes dont l’intrus avait pris le contrôle, sur 11,7 millions d’adresses exposées.
La lecture contraire la plus sérieuse veut qu’une mise à jour imposée protège aussi le joueur. Elle ne change rien au constat, car Plex réclame toujours une réinstallation complète des serveurs exposés, comme le précise son avis de sécurité.
Reconstruisez le serveur à partir d’une installation propre, plutôt que de réutiliser l’ancien dossier de données de Plex.
Plex, avis de sécurité sur Plex2Shell publié sur les forums Plex, mis à jour le 19 octobre 2026
Les remboursements restent un geste commercial, et aucune règle n’oblige un fournisseur à couvrir des requêtes lancées avec une clé volée. Street Fighter V montre l’autre issue possible : faute de correctif, Capcom a coupé le jeu en ligne sur PS4 et Steam le 27 octobre, sans date de retour.
Le Cyber Resilience Act, seul contrepoids annoncé
Depuis le 11 septembre 2026, les fabricants doivent signaler sous 24 heures toute vulnérabilité activement exploitée et la notifier sous 72 heures, selon la Commission européenne. À partir du 11 décembre 2027, le texte exigera des mises à jour de sécurité gratuites, automatiques et activées par défaut lorsque c’est applicable, sur une période d’assistance en principe d’au moins cinq ans.
Si ce calendrier est tenu, les serveurs multimédias et les box mis sur le marché européen après cette date devraient recevoir leurs correctifs sans attendre leur propriétaire, comme une console aujourd’hui. Cette projection suppose que les contrôles suivent, et ne couvre pas le parc déjà vendu. Elle serait démentie si les mises à jour restaient manuelles après 2027, ou par un nouveau cas XCPE : aucun texte ne protège d’un fabricant qui piège son propre matériel.
GTA 6, Plex et les box, les prochains tests
Le prochain signal arrive le 19 novembre, avec la sortie de GTA 6. Ce jour-là, chaque PS5 qui lancera le jeu sera à jour, et la démonstration sera faite qu’une mise à jour atteint tout un parc dès que l’accès à un jeu en dépend.
Un Plex qui se met à jour seul, une box remplacée aux frais de son fabricant, un fournisseur d’IA qui inscrit le remboursement dans ses conditions : chacun de ces gestes affaiblirait la règle. D’ici là, la mise à jour automatique activée, le port 32400 fermé quand l’accès distant ne sert pas et un plafond de dépense sur chaque clé d’API restent les seules protections qui ne dépendent que de vous.
