La célèbre stratégie globale de Sid Meier se transforme pour Nintendo en un cauchemar sécuritaire : la version physique sur cartouche de Civilization VII pour la Nintendo Switch originale est au centre d'un nouvel exploit inédit, utilisé par des hackers et des développeurs homebrew pour contourner les barrières de sécurité de la Nintendo Switch 2 . La situation autour du hack dit « CivSwitch » semble si grave que l'éditeur 2K Games aurait déjà commencé à retirer les exemplaires physiques de la version Switch du marché, selon des rapports.

Comment fonctionne « CivSwitch » : du chat en jeu à l’exécution de code

Cette vulnérabilité a été découverte et rendue publique par le moddeur et chercheur en sécurité Gezine. Ce qui est surprenant, c’est que le hack ne vise pas directement le logiciel de la Switch 2, mais exploite la rétrocompatibilité du nouveau matériel Nintendo en la combinant avec une faille non corrigée du module précédent :

  • Condition spécifique du module : l’exploit ne fonctionne qu’avec la version physique 1.0.0 du module Switch 1 de Civilization VII. Les versions logicielles plus récentes ou les éditions purement numériques de l’eShop ne sont pas concernées.

  • Faille XSS dans le chat : la porte d’entrée est le chat textuel en mode multijoueur local. Une vulnérabilité Cross-Site Scripting (XSS) permet d’injecter un code JavaScript malveillant.

  • Injection USB par matériel : grâce à un microcontrôleur branché en USB (par exemple un Raspberry Pi Pico) ou un smartphone camouflé en clavier, le code est automatiquement tapé dans le champ de saisie du chat puis exécuté.

Pour l’instant, CivSwitch n’est pas un jailbreak complet permettant de jouer à des copies pirates sur Switch 2. Cependant, ce hack offre aux utilisateurs un accès étendu à ce qu’on appelle le Userland: les sauvegardes peuvent être modifiées, des modifications de jeu activées et des programmes homebrew non autorisés lancés sur la console.

Vague d’annulations dans le commerce : 2K retire les modules

La nouvelle du hack s’est répandue comme une traînée de poudre dans des subreddits spécialisés. En quelques heures, des bricoleurs ont vidé les stocks restants de modules physiques de Civilization VII en ligne, afin de sécuriser cette clé d’accès matérielle à la Switch 2.

La réaction de l’éditeur 2K Games n’a pas tardé. Certains revendeurs, dont Amazon, ont immédiatement commencé à annuler les commandes en cours des versions physiques. Dans leurs notifications aux clients concernés, le géant de la vente a expliqué la mesure par une instruction directe de 2K liée à des « exigences techniques et de sécurité ».

Comme alternative, certains commerçants proposent aux acheteurs concernés des versions « code dans la boîte ». Comme ces emballages ne contiennent qu’un code de téléchargement pour le Nintendo eShop et que l’exploit exige impérativement une cartouche 1.0.0 pressée, cette astuce est inefficace avec les licences numériques. Dans le secteur, il est largement admis que Nintendo a exercé une pression massive sur l’éditeur pour contenir rapidement la circulation du module.

Les outils d’IA accélèrent l’éternel jeu du chat et de la souris

L’affaire CivSwitch illustre un dilemme fondamental des architectures modernes des consoles : alors que les versions en ligne peuvent être patchées côté serveur à tout moment, les supports physiques figent irrévocablement le code au moment de la fabrication. Dès qu’un module produit à des millions d’exemplaires comporte une faille de sécurité majeure, les fabricants n’ont d’autre choix en cas d’urgence que de le rappeler des rayons.

De plus, cet incident alimente le débat sur la vitesse fulgurante de la scène du modding. Grâce à l’utilisation ciblée d’outils de programmation générative basés sur l’IA, les hackers peuvent désormais analyser le code des jeux et les architectures des firmwares en une fraction du temps autrefois nécessaire et développer des exploits sur mesure. Pour Nintendo et d’autres détenteurs de plateformes, CivSwitch représente simplement la prochaine phase accélérée par l’IA dans un jeu du chat et de la souris qui devrait maintenir la sécurité des consoles en alerte pendant des années.