Un rappel sécurité lié au contrôleur électronique de freinage d’un camion a fait d’une pierre deux coups: corriger un problème “mécanique” et, en même temps, refermer des portes de cybersécurité. À l’occasion de Black Hat USA 2026, des chercheurs de la National Motor Freight Traffic Association (NMFTA) ont expliqué que la mise à jour associée au rappel sécurité contrôleur frein allait plus loin qu’annoncé publiquement.
Selon leurs travaux, le correctif a supprimé des fonctions dans le micrologiciel et a neutralisé plusieurs failles, notamment des erreurs de manipulation de mémoire, mais aussi des vulnérabilités plus sensibles: crash de l’unité de contrôle et scénarios théoriques d’exécution de code à distance.
Quel contrôleur de frein est concerné ?
Le sujet porte sur l’unité de commande électronique EC80 de Bendix. Cette ECU gère des fonctions essentielles sur des véhicules utilitaires lourds, comme l’anti-blocage (ABS), le contrôle de traction et la stabilité.
Elle communique notamment via J2497, aussi appelé PLC4TRUCKS, un bus de données par lignes d’alimentation utilisé dans l’industrie depuis 2001. Sa raison d’être: répondre à une exigence fédérale liée aux voyants d’alerte ABS des remorques.
Le rappel: une correction de mémoire, et bien plus
À la fin de 2024, trois constructeurs d’équipements d’origine (OEM) qui intègrent l’EC80 ont publié des rappels. Ils concernaient, d’après les informations relayées par la NMFTA, environ 450 000 unités.
La cause annoncée par Bendix portait sur une vulnérabilité de corruption de mémoire pouvant mener à l’arrêt de l’unité de contrôle. Bendix a attribué le problème au bruit sur la ligne du bus J2497 et a expédié une correction.
Or, les chercheurs ont indiqué qu’en étudiant des versions de firmware avant et après la mise à jour, ils ont trouvé autre chose: la mise à jour supprimait des dizaines de fonctions dans le code.
Ce que les chercheurs ont découvert dans le code supprimé
Pour parvenir à ce constat, le chercheur de cybersécurité principal de la NMFTA, Ben Gardiner, a procédé à une analyse de firmware inversée (reverse engineering) à partir de trois unités, chacune associée à un OEM touché.
Dans les parties de code supprimées par la mise à jour, la NMFTA a identifié plusieurs faiblesses, dont:
- Des erreurs de gestion de buffers pouvant provoquer un crash de l’ECU.
- Un scénario lié à l’exécution de code à distance, en lien avec ces défauts de manipulation de données.
- Un mot de passe codé en dur pouvant, dans certaines conditions, désactiver le contrôle de traction.
- Une faille permettant un chemin théorique combinant à la fois crash et exécution.
En bref, ce qui a été “public” comme mise à jour de sécurité pour la stabilité pourrait aussi avoir servi de couverture à des risques cyber plus directs.
Pourquoi J2497 peut être un vecteur de menace
La NMFTA rappelle que J2497 peut être atteint à distance via une approche déjà associée à une vulnérabilité évoquée en 2022. Autrement dit: l’accès au réseau n’est pas forcément cantonné à un contexte local.
Autre possibilité évoquée: une attaque pourrait aussi passer par un équipement de télématique de remorque compromis. Si un attaquant obtient un relais vers ce type d’infrastructure, les messages peuvent ensuite être transmis au système de contrôle concerné.
Tester l’impact: conditions en environnement de banc et sur route
Pour évaluer les effets potentiels, la NMFTA a d’abord mené des tests en environnement de banc. Puis, pour des essais en conditions “route” sur piste fermée, l’organisation a utilisé une approche de radio logicielle afin d’injecter des signaux via le port de diagnostic, dans le but de simuler une attaque de type sans fil.
Les résultats décrits sont préoccupants sur un plan opérationnel. À des vitesses inférieures à 5 mph et autour de 9 mph, les chercheurs ont observé que le trafic sur le bus CAN s’arrêtait complètement une fois le crash déclenché.
La récupération exigeait, de façon constante, de débrancher la batterie. Dans un cas mentionné, l’intervention nécessitait en plus un outil concessionnaire.
Symptômes constatés pendant l’état de déni de service
Cette situation correspond à un déni de service (DoS) où l’ECU bascule dans un état qui perturbe des fonctions essentielles. D’après les tests rapportés:
- la vitesse affichée au compteur disparaît;
- l’assistance à la direction est affectée;
- le passage des vitesses est perturbé;
- le système ABS se met à pulser.
Ces effets peuvent fortement compliquer la conduite et la récupération, même si l’analyse souligne que tout dépend du contexte exact.
Risque réel pour le conducteur: dépend du contexte
Les chercheurs se sont également interrogés sur la question centrale: est-ce que ces effets pourraient mettre un conducteur en danger et mener à un accident ?
La NMFTA indique que la réponse dépend fortement de la situation. Les contrats et conditions d’utilisation des conducteurs pourraient, par exemple, empêcher de continuer à opérer un véhicule dans cet état dégradé.
En revanche, les chercheurs notent que provoquer un crash ne serait pas forcément aussi simple qu’une mise hors-service totale de la maîtrise du véhicule: les attaques observées ne retirent pas clairement au conducteur le contrôle du camion. Cette nuance est importante pour comprendre l’ampleur réelle du risque.
Pourquoi le rappel sécurité contrôleur frein reste ambigu côté “CVEs”
Un point marquant soulevé par la NMFTA concerne l’absence d’identifiants normalisés de vulnérabilité. Les chercheurs affirment que aucune des vulnérabilités corrigées n’a reçu d’identifiant CVE malgré leur prise en charge.
Selon Ben Gardiner, ce choix pourrait contribuer à réduire la visibilité sur l’importance cyber de ce qui a été présenté publiquement comme un correctif orienté “sécurité” au sens sûreté/fiabilité.
Où en est la correction sur le parc ?
Avant de rendre leurs résultats publics, la NMFTA a pris contact avec Bendix et a briefé deux des trois OEM concernés, ainsi que la NHTSA et Transport Canada.
Pour estimer la diffusion réelle des correctifs, la NMFTA s’appuie sur le suivi public des rappels de la NHTSA. Au 16 juillet (année non précisée dans l’extrait), le taux d’achèvement des rappels affichait des valeurs allant de 0 à 99% selon les identifiants liés à ce rappel.
La NMFTA estime que les taux atteignent souvent un palier autour de 80% dans l’industrie, en raison de facteurs comme la perte d’équipements ou un sous-signalement.
Un livre blanc technique en sortie de conférence
Après la présentation à Black Hat USA 2026, la NMFTA a publié un livre blanc technique de 179 pages détaillant ses constats et sa méthode.
De son côté, Bendix n’a pas répondu à une demande de commentaire relayée dans le même contexte.
Ce que cela change pour la cybersécurité des poids lourds
Le cas du rappel sécurité contrôleur frein illustre un point crucial: dans l’infrastructure automobile, un correctif annoncé pour la fiabilité peut aussi agir comme “porte d’entrée” vers des risques cyber. En pratique, cela signifie que l’audit des mises à jour logicielles et le suivi des vulnérabilités ne peuvent pas se limiter à l’aspect mécanique.
Pour les acteurs de l’industrie, l’enjeu est double: améliorer la sécurité opérationnelle des systèmes de freinage, tout en réduisant la surface d’attaque potentielle liée aux réseaux de communication, notamment lorsque des bus comme J2497 s’y prêtent.
En attendant, les conducteurs, flottes et partenaires doivent rester attentifs aux rappels et à leur statut d’achèvement, car la récupération peut exiger des actions spécifiques (comme un débranchement de batterie) en cas de problème déclenché.
Source: https://www.securityweek.com/truck-brake-controllers-safety-recall-doubled-as-hidden-security-fix/
