Sony paie des inconnus pour dénicher les failles de ses consoles, et certaines primes ont de quoi faire rêver.
Un chercheur en cybersécurité a reçu une prime de 50 000 dollars de Sony pour une vulnérabilité critique sur la PlayStation 5, et cela pose une question : que cache une faille de ce niveau ? On fait le tour du programme, de ses règles et de ce que ce type de découverte change vraiment pour vous.
Un chercheur empoche 50 000 dollars de Sony pour une faille sur PS5 : le plafond, une deuxième fois !
Imaginez la scène : un chercheur en sécurité trouve une faille au cœur de la PlayStation 5, la signale à Sony et repart avec un chèque de 50 000 dollars. Ce n’est pas une fiction. Jordy, connu sous les pseudos 2tonejordy sur HackerOne et couldbeautism sur X, reçoit cette prime.
Jordy affirme avoir reçu la prime maximale de 50 000 dollars
Le montant tombe au plus haut niveau du barème. Jordy affirme avoir reçu 50 000 dollars de Sony le 14 octobre 2026, soit environ 43 000 euros.
La vulnérabilité est classée « critique » dans le programme PlayStation Bug Bounty. Le rapport public apparaît comme résolu, mais son contenu technique reste caché.
Un plafond atteint deux fois en trois ans
Ce paiement est le deuxième de 50 000 dollars pour une faille critique sur console PlayStation depuis trois ans. Le premier revient à Aapo Oksman, qui avait annoncé une prime identique en janvier 2024.
La découverte d’Aapo touchait les PS4 et PS5. Elle permettait d’intercepter des communications réseau protégées par TLS, le protocole qui chiffre les échanges entre une console et un serveur. Sony a ensuite publié des correctifs pour les deux générations.
Le rapport de Jordy ne dévoile pas le fonctionnement de la faille. Impossible, donc, de la rattacher aux exploits publics visant l’hyperviseur de la PS5.
Comment fonctionne ce programme de chasse aux failles
Un périmètre centré sur PS4, PS5 et le PSN
Lancé en juin 2020 avec l’aide de HackerOne, le programme est simple. Un chercheur teste les produits autorisés et décrit le problème avec précision. Sony dispose ensuite d’un délai pour le corriger.
Le périmètre actuel couvre :
- les consoles PlayStation 4 et PlayStation 5
- leur logiciel système et leurs accessoires
- certaines parties du PlayStation Network
Les domaines PlayStation éligibles sont précisés séparément sur la page du programme.
Sont en revanche exclus :
- les anciennes consoles, PlayStation 2, PlayStation 3, PlayStation Vita et PSP
- les jeux et applications tierces
- les infrastructures informatiques internes
- les services que Sony ne peut pas corriger directement
Pour les consoles et leurs accessoires, Sony privilégie les signalements visant la version actuelle du logiciel système ou une version bêta. Une ancienne version peut parfois être examinée au cas par cas.
Le montant dépend de la gravité et du rapport
Le barème compte quatre niveaux. Les montants sont donnés en fourchettes. Sony regarde l’impact réel, l’étendue du problème et la qualité des explications.
- Faible : 250 à 2 499 dollars, pour un problème dont l’exploitation reste limitée.
- Moyenne : 800 à 9 999 dollars, lorsque la faille offre davantage de possibilités à un attaquant.
- Élevée : 3 000 à 49 999 dollars, pour une vulnérabilité pouvant compromettre une fonction importante ou plusieurs utilisateurs.
- Critique : 5 000 à 50 000 dollars, pour les failles capables d’atteindre une couche essentielle du système ou d’exposer un grand nombre de comptes et d’appareils.
Le premier signalement valide d’une vulnérabilité inédite passe en priorité. Le chercheur doit aussi respecter trois conditions :
Les trois conditions à respecter
- Fournir assez de détails pour permettre la reproduction du problème.
- Éviter d’accéder aux données des utilisateurs.
- Attendre un délai raisonnable avant toute divulgation publique.
Pourquoi l’hyperviseur et le jailbreak attirent autant l’attention
L’hyperviseur, le rempart logiciel de la PS5
L’hyperviseur est une couche logicielle placée très bas dans la console. Il isole le noyau et la mémoire, ainsi que certaines fonctions matérielles. Ainsi, un code ordinaire ne peut pas y toucher directement.
Un exploit de l’hyperviseur peut donc ouvrir la voie à des opérations normalement bloquées. Les travaux autour de Byepervisor Reborn exploitent une faiblesse. Elle apparaît lors du réveil de la console depuis le mode repos.
La faiblesse exploitée par Byepervisor Reborn peut donner un accès en lecture et en écriture à une zone mémoire de l’hyperviseur.
Une avancée qui n’est pas encore un jailbreak
Attention, cette percée ne suffit pas à elle seule pour obtenir un jailbreak prêt à l’emploi. Le projet vise d’abord les développeurs. Il faut encore d’autres éléments pour lancer facilement des applications non officielles, Linux ou des logiciels non signés.
Un jailbreak modifie les protections de la console pour exécuter du code que Sony n’a pas validé. Il peut servir au développement amateur et au lancement de systèmes alternatifs. Il peut aussi faciliter l’usage de copies de jeux, de logiciels piratés ou d’outils de triche.
Une faille profonde attire évidemment les chercheurs. Elle attire aussi les groupes qui veulent contourner les protections de la PS5. L’arrivée annoncée de Grand Theft Auto VI accroît encore la pression sur la sécurité de la console.
Les comptes et les données en jeu
Le risque concerne aussi les comptes, les achats et les données personnelles. En 2011, une intrusion avait forcé l’arrêt du PlayStation Network. Elle avait exposé les informations d’environ 77 millions de comptes : noms, adresses électroniques, identifiants et données de connexion.
Il ne faut toutefois pas confondre la faille récompensée par Sony et les exploits publics visant l’hyperviseur. Le rapport de Jordy ne dévoile pas son fonctionnement.
Byepervisor Reborn documente au contraire une piste distincte. Sa compatibilité est annoncée pour certaines versions du logiciel système, allant jusqu’à la 13.60.
Un jailbreak peut vous coûter l’accès au PSN
Le contrat de licence du logiciel système PS5 interdit :
- L’utilisation de matériel ou de logiciels modifiés
- Les outils qui contournent les mécanismes de chiffrement, de sécurité ou d’authentification
- La réinstallation d’une ancienne version du logiciel système
Sony peut limiter, suspendre ou couper l’accès aux services liés à une console ou à un compte qui enfreint ces règles.
Une modification non autorisée peut aussi compliquer une réparation. Elle peut faire perdre le bénéfice de la garantie dans les cas prévus par les conditions applicables.
Une console modifiée peut vous faire perdre vos accès en ligne, et avec eux les jeux et contenus achetés liés à votre compte. Avant de toucher au logiciel, pesez ce que vous risquez de perdre.
Comment garder votre PS5 à jour
Le plus simple, c’est de passer par Paramètres > Système > Logiciel système > Paramètres et mise à jour du logiciel système. Vous y voyez la version installée. Si une mise à jour est disponible, la console vous le signale.
Les quatre réglages à activer
-
Vérifiez la version à la main
Dans ce menu, sélectionnez Mettre à jour le logiciel système si une nouvelle version apparaît.
-
Activez les téléchargements automatiques
Activez-les dans les réglages du logiciel système, et la PS5 pourra récupérer les fichiers pendant le mode repos.
-
Autorisez la connexion en mode repos
Autorisez-la via Paramètres > Système > Gestion de l’alimentation > Fonctionnalités disponibles en mode repos, puis activez l’option qui maintient la connexion à Internet.
-
Préparez une clé USB de secours
Si besoin, formatez la clé en FAT32 ou exFAT, créez les dossiers PS5 puis UPDATE, et placez-y le fichier officiel renommé PS5UPDATE.PUP.
Une faille récompensée à 50 000 dollars prouve que Sony prend la sécurité de sa console très au sérieux. Mais si la tentation du jailbreak vous démange, sachez qu’il peut vous coûter bien plus : l’accès au PSN, rien de moins.
Foire aux questions
Qui gère le signalement des failles PlayStation ?
Les rapports passent par HackerOne, une plateforme qui met en relation les entreprises et les chercheurs en sécurité.
Le chercheur y décrit la faille, son impact et les étapes pour la reproduire. C’est ce dossier que Sony examine avant de verser une prime.
Sony peut-il révéler l’identité d’un chercheur ?
Non, Sony ne peut pas communiquer l’identité d’un chercheur à un tiers sans son autorisation, si le signalement respecte les règles du programme.
Cette protection ne couvre que les signalements faits dans le respect des règles du programme.
Une mise à jour classique efface-t-elle les jeux installés ?
Non, une mise à jour normale du logiciel système conserve les jeux, les applications et les données de la console.
C’est la réinstallation complète depuis le mode sans échec qui supprime les données utilisateur. Gardez cette option pour un dernier recours.
En tant que jeune média indépendant, CONNECTESPORT.COM a besoin de votre aide. Soutenez-nous en nous suivant et en nous ajoutant à vos favoris sur Google News. Merci !
