Une faille vieille de seize ans, cachée dans les puces Wi-Fi de Broadcom, permet de pirater certaines box internet sans connaître leur mot de passe. La Livebox 5 d’Orange et la SFR Box Plus figurent parmi les modèles repérés comme non corrigés. Il n’y a pas de quoi paniquer, mais quelques gestes simples réduisent nettement le risque en attendant les mises à jour.

Ce qui s’est passé

Le 16 octobre, lors de la conférence de sécurité Hexacon, le chercheur belge Quentin Kaiser a présenté une vulnérabilité dans le WPS des puces Wi-Fi Broadcom. Le WPS, c’est ce petit bouton sur la box qui permet de connecter une imprimante ou un répéteur sans taper la clé Wi-Fi. Pour fonctionner, la box échange des messages avec l’appareil qui veut se connecter. Or le logiciel de Broadcom recolle mal ces messages lorsqu’ils arrivent en plusieurs morceaux, il déborde de la zone de mémoire prévue, ce que les spécialistes appellent un « dépassement de tampon ».

Concrètement, un pirate qui se trouve à portée de votre Wi-Fi, dans la rue, sur le palier, dans l’immeuble voisin peut exploiter ce défaut pour faire exécuter ses propres instructions à la box. Il n’a besoin ni du mot de passe Wi-Fi, ni d’être déjà connecté au réseau. En Belgique, le chercheur a ainsi pris le contrôle d’une box d’Orange Belgium et récupéré sa clé Wi-Fi, et obtenu un accès en ligne de commande sur un modèle Proximus. Il estime que jusqu’à 1,5 million de box pourraient être concernées dans son pays.

Quelles box sont concernées en France ?

En écoutant passivement les réseaux Wi-Fi autour de lui à Paris, Quentin Kaiser a identifié, selon Clubic, deux modèles non corrigés :

• Livebox 5 d’Orange (référence Sagemcom Fast5656)
• SFR Box Plus (référence NB6VAC).

La Livebox 6 d’Orange et la Bbox Wi-Fi 7 de Bouygues Telecom ne présentent en revanche pas la faille dans ses relevés (Clubic les indique comme corrigées), et aucune Freebox n’est ressortie de ses mesures. Prudence toutefois un même modèle peut exister en plusieurs variantes, et ces observations ne prouvent pas que l’ensemble du parc soit vulnérable. Pour savoir quelle box vous avez, le plus simple est de regarder l’étiquette située sous ou derrière l’appareil, ou l’interface d’administration de la box.

Pourquoi cette faille traîne depuis si longtemps

Le code en cause est présent depuis au moins 2010. Broadcom l’a partiellement corrigé en 2018, sans jamais lui attribuer de numéro CVE , l’ identifiant universel qui permet aux fabricants, opérateurs et équipes de sécurité de suivre une faille et ses correctifs. Le chercheur a alerté Broadcom en juillet 2026, l’entreprise a répondu qu’un correctif existait, a renvoyé vers les fabricants et a refusé de créer une CVE. Pour Quentin Kaiser, ce silence explique probablement pourquoi les correctifs ne sont jamais arrivés sur de nombreux équipements, selon lui, au 15 octobre, aucun des appareils vulnérables qu’il a identifiés n’avait reçu de correctif.

Détail qui en dit long sur notre époque, le chercheur indique s’être fait aider par des agents d’intelligence artificielle, pour un coût d’environ 103 euros et moins d’une semaine de travail. Trouver ce type de faille devient plus rapide et moins cher pour les chercheurs comme pour les attaquants.

Comment se protéger : les recommandations

1. Surveiller les mises à jour de votre opérateur

Les box des grands opérateurs français se mettent à jour automatiquement. C’est la vraie solution : une fois le logiciel de la box corrigé, la faille disparaît. Gardez un œil sur les annonces de votre opérateur et laissez votre box branchée pour qu’elle puisse recevoir les mises à jour.

2. Ne pas compter sur un changement de mot de passe

C’est le réflexe habituel, mais il ne sert à rien dans ce cas. L’ attaque vise le logiciel qui traite le WPS, avant même toute vérification du mot de passe. Changer la clé Wi-Fi ne bloque donc pas le pirate.

3. Désactiver le WPS si vous ne l’utilisez pas

Dans l’interface de la box, l’option WPS peut généralement être coupée. C’est une bon réflexe de sécurité, mais ce n’est pas une garantie face à cette faille précise

4. Passer au câble pour les usages sensibles

La mesure la plus complète, en attendant le correctif, consiste à couper le Wi-Fi de la box sur toutes ses bandes et à brancher ses appareils en Ethernet lorsque c’est possible. Sans Wi-Fi actif, la porte d’entrée radio disparaît. C’est contraignant pour un foyer, mais pertinent pour un poste de télétravail qui accède au réseau de l’entreprise.

5. Pour les entreprises : recenser les box des télétravailleurs et des petits sites

Ces box ne sont pas qu’un sujet grand public, elles connectent aussi des collaborateurs à domicile, des agences et des TPE. Un responsable informatique a intérêt à recenser les modèles utilisés, à rappeler aux équipes les bons gestes ci-dessus et à privilégier le câble pour les postes les plus sensibles. Le chercheur a par ailleurs publié un script de détection et une règle YARA pour aider à repérer les équipements concernés.

Un air de déjà-vu

Ce n’est pas la première alerte de ce type, en 2017, des box Orange et SFR avaient déjà été touchées par une faille liée au WPS, corrigée en urgence à l’époque. L’histoire se répète, avec une différence de taille, sans CVE, le suivi du correctif repose entièrement sur la bonne volonté de chaque fabricant et opérateur.

En résumé

Le risque est réel mais reste localisé, l’attaquant doit être à portée de votre Wi-Fi. La meilleure protection reste la mise à jour de la box par votre opérateur. En attendant, désactivez le WPS si vous ne vous en servez pas et préférez le câble pour les usages sensibles. Les entreprises, elles, ne doivent pas oublier les box de leurs télétravailleurs et rappeler aux équipes les bons gestes ci-dessus.