Livebox 5 et SFR Box Plus : une faille Wi-Fi WPS de Broadcom reste ouverte

Une faille d'exécution de code à distance dans l'ancienne implémentation du WPS de Broadcom, présentée le 16 octobre 2026 par le chercheur belge Quentin Kaiser, touche des box Wi-Fi encore en service en France, dont la Livebox 5 d'Orange et la SFR Box Plus, selon ses relevés.

Quelle est la faille de Broadcom sur le WPS ?

Le WPS (Wi-Fi Protected Setup) est la fonction de connexion par simple pression sur un bouton. Dans le logiciel que Broadcom fournit pour ses puces Wi-Fi, les messages WPS envoyés en plusieurs fragments sont mal réassemblés. Le résultat est un débordement de mémoire, qui permet à un attaquant d'exécuter du code sur l'équipement.

Selon Clubic, le défaut existerait depuis 2010. Broadcom l'aurait seulement corrigé à moitié en 2018 et n'a attribué aucun identifiant CVE, ce qui complique le suivi : il n'existe pas de numéro à surveiller dans les bases de vulnérabilités, et chaque fabricant ou opérateur doit traiter le sujet de son côté.

Quelles box françaises sont concernées ?

Quentin Kaiser a présenté ses travaux à la conférence Hexacon et publié un billet intitulé « one-parser-two-bugs ». Il a mesuré passivement les réseaux Wi-Fi visibles à Paris pour identifier les modèles en circulation :

• Livebox 5 d'Orange (version Sagemcom Fast5656) : non corrigée lors du relevé ;

• SFR Box Plus (version NB6VAC) : non corrigée ;

• Livebox 6 d'Orange et Bbox Wi-Fi 7 de Bouygues Telecom : corrigées ;

• Freebox : aucune n'apparaît dans les mesures.

Ces relevés ne prouvent pas que tout le parc soit vulnérable : un même modèle existe en plusieurs variantes de micrologiciel. En Belgique, le chercheur affirme avoir pris le contrôle d'une box d'Orange Belgium et récupéré sa clé Wi-Fi, puis obtenu un accès en ligne de commande sur un modèle de Proximus. Il évalue à 1,5 million le nombre de box potentiellement concernées dans le pays.

Faut-il un mot de passe pour attaquer ?

D'après Clubic, l'attaque n'exige pas d'être connecté au réseau : elle vise le code qui traite les échanges WPS, avant toute authentification. Changer la clé Wi-Fi ne protège donc pas. L'article source reste en revanche flou sur un point : il ne dit pas clairement si une phase d'appairage WPS doit être en cours. Ce détail reste à confirmer auprès du billet technique d'origine.

Que faire en attendant un correctif ?

• Laisser la mise à jour automatique de la box active : les opérateurs français les déploient eux-mêmes, et il faut suivre leurs annonces.

• Désactiver le WPS s'il ne sert pas est possible, mais ne garantit rien contre ce défaut.

• Pour supprimer complètement le point d'entrée radio, couper le Wi-Fi de la box sur toutes les bandes et passer par l'Ethernet quand c'est faisable.

Ce n'est pas la première alerte de ce type : les box d'Orange et de SFR avaient déjà été touchées par une faille WPS en 2017, corrigée en urgence à l'époque. Pour un autre exemple d'équipement réseau exploité à grande échelle, voir notre article sur les zero-days d'Ivanti Connect Secure.

Source

Clubic : faille Wi-Fi critique, des Livebox d'Orange et box SFR piratables sans mot de passe, 18 octobre 2026. Le billet d'origine de Quentin Kaiser, « one-parser-two-bugs », est la source primaire citée par Clubic.