Midea a commencé à distribuer une mise à jour pour les climatiseurs de sa série PortaSplit. Elle vise à corriger une vulnérabilité Bluetooth qui permettait jusqu’ici à un tiers de prendre le contrôle de l’appareil. Le déploiement, effectué à distance, doit s’étaler sur plusieurs jours ou semaines afin de couvrir l’ensemble des modèles.
Une interface BLE détournée de son usage
La faille concernait l’interface Bluetooth Low Energy (BLE) intégrée aux PortaSplit. Cette liaison n’était pas prévue pour l’usage domestique : le pilotage courant passe par les boutons du climatiseur, une télécommande infrarouge ou l’application Wi-Fi, protégée par un code PIN en option. L’interface BLE servait d’origine à d’autres usages, mais restait accessible à proximité de l’appareil.
Selon les informations disponibles, les échanges sur cette liaison s’appuyaient sur un chiffrement AES. Toutefois, les données nécessaires au calcul de la clé étaient diffusées sans protection par balise Bluetooth dans l’environnement. Il suffisait donc de se trouver à portée radio pour récupérer ces éléments et s’affranchir de toute procédure d’appairage, d’authentification ou de saisie d’un code.
Ce que permettait concrètement l’accès non autorisé
Une fois ces informations obtenues, un tiers pouvait commander l’appareil sans autorisation. Les modifications possibles portaient notamment sur la température de consigne et sur le basculement entre les modes de refroidissement et de chauffage. D’autres réglages restaient accessibles par la même voie, l’attaquant se comportant comme un utilisateur légitime.
Le point sensible tenait moins au chiffrement lui-même qu’à la façon dont les paramètres cryptographiques circulaient en clair. La protection existait sur le papier, mais la diffusion ouverte des données nécessaires à son calcul la rendait inopérante face à quelqu’un situé à portée Bluetooth.
Le correctif et sa diffusion
La mise à jour répond à ce problème en modifiant le module d’authentification. L’objectif est de bloquer l’accès BLE non autorisé par une interface de programmation, afin que la liaison ne puisse plus être exploitée de la même manière. Le fabricant n’a pas détaillé publiquement l’ensemble des changements techniques apportés.
L’actualisation porte la référence de version V.012634_0000_4000_8000_5006_1012. Elle arrive par voie hertzienne, directement sur les appareils, sans intervention manuelle de la part des propriétaires. Le rythme de distribution est progressif : tous les climatiseurs PortaSplit ne recevront pas le correctif au même moment.
Conséquences pour les propriétaires
Pour les utilisateurs, l’opération ne change pas la manière de piloter le climatiseur. Les commandes habituelles — boutons, télécommande infrarouge ou application Wi-Fi — restent les voies normales. L’intérêt du correctif est de retirer la possibilité, pour une personne se trouvant à portée Bluetooth, d’agir sur l’appareil sans y être autorisée.
En pratique, cela réduit l’exposition des installations où le climatiseur est accessible depuis un espace partagé : cage d’escalier, cour, local ouvert ou voisinage immédiat. L’attente de la mise à jour ne nécessite aucune démarche particulière, la diffusion se faisant automatiquement.
À noter que Midea avait présenté peu auparavant une variante fonctionnant au propane, dotée de fonctions domotiques étendues.
Ce qui est confirmé, ce qui reste ouvert
Le correctif est publié et sa distribution a débuté. Il concerne l’ensemble des climatiseurs de la série PortaSplit, avec un étalement dans le temps, et modifie le mécanisme d’authentification de la liaison BLE. En revanche, aucun calendrier précis de fin de déploiement n’a été communiqué, pas plus qu’un moyen de vérifier depuis l’appareil que la version V.012634_0000_4000_8000_5006_1012 a bien été installée. Le détail des modifications apportées à l’API n’est pas public non plus.