IoT : TV, prises et NAS concentrent les vulnérabilités selon Bitdefender

Bitdefender et NETGEAR dévoilent, ce 28 octobre 2026, leur 2026 IoT Security Landscape Report. L’étude s’appuie sur la télémétrie de quelque 10,4 millions de foyers équipés de technologies de sécurité Bitdefender pour la maison connectée, entre janvier et septembre 2026. Sur cette période, les capteurs ont enregistré 5,4 milliards d’événements de sécurité et 1,2 milliard d’observations de vulnérabilités, selon le communiqué relayé par Hot for Security et le décryptage NETGEAR.

Le foyer moyen compte désormais 24 appareils connectés, contre 22 en 2025. Côté composition du parc, les smartphones restent l’équipement le plus présent (20,4 %), devant les téléviseurs (10,6 %), les ordinateurs (10 %), les équipements réseau (6,2 %), les boîtiers de streaming (5,4 %, après 7,3 % en 2025), les tablettes (4,8 %) et les caméras IP (4,1 %). Un chiffre qui fait écho à nos précédents bilans sur les foyers multi-appareils.

Malgré la place dominante des téléphones dans le parc, ce ne sont pas eux qui pèsent le plus dans les observations de vulnérabilités. Les téléviseurs connectés concentrent 22,7 % de ces observations, soit 270,3 millions d’occurrences. Les prises connectées suivent à 22,4 %, et les NAS à 22 %. À eux trois, ces équipements réunissent 67,1 % des vulnérabilités relevées. Bitdefender précise qu’une observation correspond à un appariement appareil–faille connue, et non à une intrusion réussie.

Le rapport insiste aussi sur la nature des failles : 99,97 % des vulnérabilités recensées sont des CVE publiques déjà documentées. Les mots de passe faibles et l’authentification en clair restent marginaux, sous le seuil de 1 %. Côté conséquences techniques, les débordements mémoire (overflow) pèsent environ 54 %, le déni de service 18 % et la corruption mémoire 17 %. L’escalade de privilèges (5,3 %), l’exécution de code (3,8 %) et l’accès non autorisé à de l’information (1,2 %) forment ensemble environ 10,3 % des cas, les scénarios les plus utiles à un attaquant.

Sur le trafic d’attaque, la reconnaissance domine : 90,1 % des événements de catégorie attaque relèvent du balayage de ports (4,85 milliards de tentatives). Le bruteforce arrive ensuite, avec 466,6 millions d’événements, dont 97,8 % visant le protocole RDP. Le rapport décrit quatre rôles possibles pour un objet connecté : cible classique, proxy résidentiel, capteur (image, son, données d’usage) ou point d’ancrage dans le réseau, via un routeur, un NAS ou une caméra.

L’année 2026 a aussi vu le ministère américain de la Justice démanteler quatre botnets IoT, tandis que des proxys résidentiels ont été documentés dans certaines applications pour téléviseurs connectés. Le document rappelle que ce dernier cas n’est pas forcément du malware : le trafic tiers peut passer après acceptation d’une EULA, ce qui pose la question du consentement éclairé.

Ciprian Istrate, SVP operations du Bitdefender Consumer Solutions Group, souligne que l’IA accélère les attaques : ce qui prenait des jours peut désormais se jouer en quelques heures, d’où l’importance d’une protection au niveau du routeur. Chandan Nandakumaraiah, head of product and cybersecurity chez NETGEAR et membre du CVE Board, estime que les cybercriminels se tournent vers les foyers parce que les entreprises se défendent mieux, et que les appareils allumés en permanence restent peu surveillés. NETGEAR évoque à ce titre sa couche Armor sur les gammes Nighthawk et Orbi, déjà croisées dans nos essais de routeurs Nighthawk.

Bitdefender rappelle en disclaimer qu’il fournit la technologie de sécurité de NETGEAR Armor et a un intérêt commercial à sa diffusion. Le rapport reste une lecture de sa propre télémétrie, et non une statistique mondiale exhaustive. Pour les lecteurs, le message pratique retenu par les auteurs reste simple : mettre à jour le routeur, retirer les appareils hors support, éviter d’exposer les panneaux d’administration sur Internet et supprimer les mots de passe d’usine.