Ces box Orange et SFR peuvent se faire pirater à distance grâce à une faille Wi-Fi

Un chercheur belge a dévoilé à la conférence Hexacon une faille qui permet de pirater certaines box Internet à distance, sans connaître le mot de passe du Wi-Fi. En France, une Livebox 5 d’Orange et des box SFR sont concernées. En Belgique, jusqu’à 1,5 million d’appareils pourraient être vulnérables.

La faille a été découverte par Quentin Kaiser, un chercheur belge spécialisé dans la cybersécurité. Présentée à la conférence Hexacon de Paris, la vulnérabilité se trouve dans une vieille version du WPS de Broadcom, un fabricant dont les puces sont présentes dans de nombreuses box. Il s’agit de la fonction qui permet de connecter un appareil au Wi-Fi sans taper le mot de passe.

just confirmed the presence of Broadcom’s vulnerable wps_monitor in ZTE F680 v4 deployed by MasMovil, ThailandToT, Telkom, Linkstar, Mnc, Viettel, VNPT, EgyptTEData, Ais, MTN, FranceReunicable, RTC, Indosat, MAXCom, EKT, OSP, and Moldtelecom https://t.co/Q5o5dwqQja

— Quentin Kaiser (@qkaiser) October 17, 2026

Le chercheur explique avoir découvert un problème au niveau de la gestion des données échangées lors de la procédure de connexion sans mot de passe. En exploitant la brèche, un pirate peut prendre le contrôle de la box sans en connaître le mot de passe, et même sans être connecté au réseau. Il doit simplement se trouver à la portée du réseau Wi-Fi.

« On peut obtenir un accès complet à un routeur depuis l’autre côté de la rue, sur une proportion importante des box en Belgique, et probablement ailleurs », explique Quentin Kaiser.

Lors de ses démonstrations, le chercheur a récupéré le mot de passe Wi-Fi d’une box belge, puis en a pris le contrôle total en s’appuyant sur la vulnérabilité. Il explique s’être servi de « modèles d’IA de pointe » pour dénicher la faille en moins d’une semaine.

« J’aurais pu mener cette recherche seul, mais cela m’aurait pris des mois », ajoute le chercheur.

À lire aussi : Google corrige 37 nouvelles failles Chrome, l’IA accélère encore la cadence des mises à jour

Un bug vieux de seize ans

La défaillance n’est pas nouvelle. D’après le chercheur, elle se trouve dans le logiciel de Broadcom depuis 2010. L’entreprise a corrigé le tir avec une mise à jour en 2018, mais de nombreux fabricants de box ne l’ont jamais installée. De facto, seize ans après son apparition, la faille est toujours exploitable sur des appareils qui sont toujours en service.

Comme le souligne l’expert, Broadcom a toujours refusé d’attribuer un numéro CVE à la vulnérabilité, c’est-à-dire l’identifiant officiel qui sert à alerter l’ensemble des fabricants d’un problème dans un logiciel. C’est en partie pourquoi les équipements sont restés privés de correctifs pendant plus d’une décennie.

À lire aussi : Des failles de sécurité dans plus de 16.000 Orange Livebox

Quelles box sont concernées en France ?

Pour déterminer le nombre d’appareils encore vulnérables, le chercheur a sillonné Paris et scanné tous les réseaux Wi-Fi environnants. Il s’est ainsi rendu compte que la Livebox 5 d’Orange et les box SFR « Box Plus »  étaient toujours vulnérables. Celles-ci n’ont jamais eu droit à un correctif pour la faille de Broadcom. Attention, seules la version Sagemcom Fast5656 de la Livebox 5 et la version NB6VAC de la box de SFR sont vulnérables. A contrario, la Livebox 6 d’Orange et la Bbox Wi-Fi 7 de Bouygues Telecom ont eu droit à une mise à jour. Aucune Freebox n’est visiblement touchée.

Mauvaise nouvelle, ça ne sert à rien de changer son mot de passe Wi-Fi. Le défaut se corrige uniquement par une mise à jour de la box déployée par l’opérateur. On vous conseille donc de laisser votre box installer ses mises à jour automatiquement. Le chercheur y voit surtout un avertissement d’une accumulation de « notre dette technique », qui « finira par nous être réclamée ». Pour l’heure, rien n’indique que la faille a été exploitée par des cybercriminels.