Le Pentagone homologue l'ordinateur embarqué pour drones de Lantronix, quelques jours après les failles root signalées par la CISA dans ses passerelles

Lantronix a annoncé le 1er octobre 2026 l'entrée de son ordinateur embarqué pour drones Open-Q 8550CS au Blue UAS Framework, le référentiel de composants homologués de la Defense Contract Management Agency pour les programmes de drones du gouvernement américain, au terme d'un examen qui, selon l'entreprise, a duré plus de six mois au-delà de ses certifications existantes ¹. Les articles parus sur le sujet remontaient à un communiqué payant↗ ¹⁷. Les huit jours qui ont précédé l'annonce ont, eux, établi un autre record.

Le Pentagone a consacré six mois à passer au crible le cerveau électronique du drone de Lantronix ; dans les huit jours précédant l'annonce, des chercheurs ont publié des failles de niveau root touchant deux autres gammes commercialisées par l'entreprise ¹²³.

Une inscription qui fait gagner des mois aux fabricants de drones

La DCMA a examiné le matériel du module, sa nomenclature de composants, son firmware, ses flux de données et sa chaîne d'approvisionnement ; l'inscription épargne aux fabricants de drones des mois de validation qu'ils auraient dû mener eux-mêmes ¹. Le décret présidentiel 14307, « Unleashing American Drone Dominance », demande aux agences d'étendre ce référentiel ¹.

Trois gammes épinglées depuis juin

Le 29 septembre, la CISA a averti que la passerelle cellulaire G520↗, déployée à travers le monde dans les transports, l'énergie et l'eau, acceptait des paquets logiciels non autorisés et livrait sa clé de signature de production dans un kit de développement (SDK) distribué publiquement ². Les deux voies mènent à une exécution de code avec des privilèges root ; les deux failles sont corrigées dans le firmware 2.6.0.7R6, et la CISA ne fait état d'aucune exploitation connue ².

Le 23 septembre, l'équipe 0day Rubbish a révélé sur le serveur de périphériques SGX5150 une chaîne d'injection de commandes, après authentification, menant aux droits root↗, notée 7,2, ainsi qu'un contournement de l'authentification Digest noté 9,8 ³. L'injection a été vérifiée en émulation plutôt que sur le matériel réel, et aucune référence CVE n'a été attribuée ³.

La faille de juin figure déjà au catalogue des vulnérabilités exploitées

Dès juin, la CISA avait inscrit à son catalogue des vulnérabilités exploitées↗ une faille notée 9,8 touchant les serveurs de console EDS5000, exploitable sans authentification. Elle comptait parmi les 22 vulnérabilités que Forescout avait recensées sur les convertisseurs de Lantronix et de Silex ⁴. La G520 dispose d'un correctif ; côté SGX5150, le rapport ne mentionne qu'une notification au fabricant, sans correctif ²³. C'est bien ce schéma qui compte.

Ce qu'achète un cours à 2,39 fois les ventes

Les systèmes non habités (unmanned systems) ont généré 12,6 millions de dollars de chiffre d'affaires sur l'exercice 2026, contre une contribution marginale un an plus tôt, sur un chiffre d'affaires total de 120,9 millions de dollars ; le nombre d'opportunités actives est passé d'une dizaine à plus de trente ⁵. Les noms cités vont de Teal Drones et Swarmer à AVT Australia ⁸.

La direction vise 15 à 20 % des ventes de l'exercice 2027 pour les drones↗ ; à chiffre d'affaires constant, cela représente 18 à 24 millions de dollars, soit une hausse de 43 à 90 % ⁵. Le bilan est sain : plus de 60 millions de dollars de trésorerie, plus aucune dette après le remboursement des derniers 8,7 millions de dollars d'emprunts, et une perte GAAP (normes comptables américaines) qui se resserre ⁶.

GuruFocus↗ valorise le titre à 2,39 fois le chiffre d'affaires, contre une médiane historique de 1,4 fois, pour une capitalisation boursière de 338 millions de dollars, et chiffre sa « GF Value » à 3,36 dollars, contre un cours de 7,21 dollars ⁷.

1,8 million d'actions supplémentaires et un renouvellement du conseil

Les actionnaires devront voter l'ajout de 1,8 million d'actions au plan d'attribution d'actions de 2020↗, qui ne comptait plus que 80 032 actions disponibles pour de nouvelles attributions à la date de référence ; l'ajout porterait le plafond du plan à 8 949 047 actions, contre 46 879 400 actions en circulation ⁹.

Le président du conseil Hoshi Printer, administrateur depuis 2010 et président du comité d'audit pendant toute cette période, et l'administrateur Jim Auker quitteront le conseil lors de cette assemblée ; le candidat présenté est Jason Lamb, ancien officier des Navy SEAL, aujourd'hui à la tête de The LGL Group ⁸. La participation de 5,5 % nouvellement déclarée↗ par Strider Capital ne donne droit à aucun vote et s'accompagne d'une attestation d'investissement passif ¹⁰.

Les deux bilans sont vrais en même temps : un ordinateur embarqué pour drones homologué par la DCMA, et trois autres gammes de produits corrigées ou en attente d'un identifiant CVE en quatre mois. La réévaluation ne tiendra que si ces plus de trente opportunités viennent alimenter l'objectif de l'exercice 2027, avant que le vote sur la dilution et l'historique des divulgations ne fassent, eux aussi, leur œuvre.