Prendre le contrôle d’une box depuis l’extérieur du logement, sans connaître son mot de passe Wi-Fi : c’est le scénario démontré par Quentin Kaiser sur plusieurs équipements belges.
Présentés à la conférence Hexacon, à Paris, le 16 octobre 2026, ses travaux sont détaillés dans un article publié sur son site personnel. Ils mettent en cause un ancien composant logiciel de Broadcom, un fournisseur de puces et de logiciels utilisés dans de nombreux équipements réseau.
L’enquête comporte aussi un volet français. Dans ses diapositives, le chercheur signale des références Orange et SFR repérées à Paris comme non corrigées.
Comment attaquer une box sans connaître la clé Wi-Fi ?
Le point d’entrée se situe dans le traitement du WPS, pour Wi-Fi Protected Setup. Cette fonction sert à simplifier la connexion d’un appareil, par exemple en appuyant sur un bouton plutôt qu’en recopiant une longue clé. Elle nécessite des échanges avec la box avant qu’une connexion Wi-Fi normale soit complètement établie.
Le défaut étudié concerne la manière dont le logiciel rassemble des messages reçus en plusieurs morceaux. Des contrôles de longueur insuffisants permettent de faire déborder des données hors de la zone mémoire prévue. En exploitant cette erreur, le chercheur montre qu’il peut obtenir des informations en mémoire et faire exécuter ses propres instructions par l’équipement.
L’attaquant doit être à portée radio du Wi-Fi visé. Il n’a besoin ni de connaître la clé du réseau ni d’achever une procédure normale d’association WPS. Un mot de passe long ne corrige donc pas ce problème : l’attaque vise le logiciel chargé de traiter certains échanges, avant de devoir présenter cette clé.
Des prises de contrôle démontrées en Belgique
Quentin Kaiser rapporte des exploitations sur des appareils de Proximus, d’Orange Belgium et de VOO (racheté par Orange). Il cite notamment la BBOX 3V+ de Proximus, les Netgear CG3100 et CG3700 ainsi que des Technicolor de VOO, et l’Askey TCG3000 d’Orange Belgium. Dans une vidéo, il récupère la clé Wi-Fi de ce dernier puis se connecte au réseau. Dans une autre, il obtient une interface de commande sur la box Proximus.
La conséquence dépasse ainsi la simple coupure de connexion. Une box contrôlée peut devenir un point d’appui pour attaquer le réseau local ou modifier des paramètres et des communications. Cela ne rend toutefois pas automatiquement lisibles les mots de passe et les contenus protégés par HTTPS.
Selon ses estimations, environ 850 000 équipements pourraient être concernés chez Proximus, 500 000 chez VOO et 210 000 chez Orange Belgium.
Orange, SFR, Bouygues et Free : ce que l’on sait pour la France
La présentation de la conférence Hexacon contient un tableau intitulé « Passive War Driving in Paris », autrement dit un repérage de réseaux Wi-Fi à Paris. Le chercheur y classe les références suivantes comme corrigées ou non corrigées :
| Opérateur et références observées | Classement présenté par le chercheur |
|---|---|
| Orange : Sagemcom Fast5656_OFR | Non corrigé |
| SFR : NB6VAC-FXC-r0 et NB6VAC-FXC-r1, de la famille Box Plus | Non corrigé |
| Orange : Fast5670_OFR, Fast5698_OFR et répéteur Wi-Fi 6 Sercomm | Corrigé |
| Bouygues Telecom : Sagemcom F5696b | Corrigé |
Ces références peuvent être rapprochées de la Box Plus de SFR, également appelée SFR Box 7 dans sa version NB6VAC, de la Livebox 5 (Fast5656_OFR) et de la Livebox 6 (F@st 5670) chez Orange, ainsi que des Bbox Wi-Fi 7 (FAST 5696b) de Bouygues Telecom. Une même génération de box peut comporter plusieurs variantes. Aucune Freebox ne figure dans ce relevé.
Un vieux logiciel, plusieurs intermédiaires et des correctifs difficiles à suivre
Selon Quentin Kaiser, le code concerné remonte au moins à 2010. Il décrit une correction incomplète diffusée en 2018, puis une recommandation de Broadcom de passer à une autre implémentation, fondée sur hostapd. Ce logiciel assure notamment des fonctions de point d’accès Wi-Fi. Pour les fabricants, le changement peut demander une adaptation importante du logiciel de la box, particulièrement sur les anciennes plateformes.
Le chercheur indique avoir transmis ses rapports à Broadcom les 18 et 27 juillet 2026, puis sollicité Proximus, Orange Belgium, VOO et le Centre pour la cybersécurité Belgique le 29 juillet. Proximus lui a demandé le rapport complet le jour même, avant un échange téléphonique avec son équipe de sécurité le 25 août. Il ne fait état d’aucun retour d’Orange Belgium ou de VOO.
Il a rendu ses travaux publics le 16 octobre, après un délai de 90 jours. Il affirme que les appareils belges concernés restaient non corrigés au 15 octobre. Il rapporte aussi que Broadcom a refusé l’attribution d’un numéro CVE, l’identifiant généralement utilisé pour suivre une vulnérabilité.
Le problème illustre une difficulté de la chaîne de fabrication : Broadcom fournit une base technique, un fabricant l’intègre, puis un opérateur distribue et maintient l’appareil. Une correction disponible chez un fournisseur n’est utile à l’abonné qu’une fois intégrée et déployée sur sa box.
Que peuvent faire les abonnés en attendant des précisions ?
La priorité est de suivre les informations de son opérateur et de vérifier que la box bénéficie bien de ses mises à jour : les box des principaux fournisseurs français sont mises à jour automatiquement.
Désactiver le WPS inutilisé reste une précaution, sans garantie contre cette faille. Changer uniquement la clé Wi-Fi ne répare pas davantage le composant logiciel. Pour retirer ce point d’entrée radio sur une box, il faut réellement désactiver son Wi-Fi sur toutes les bandes concernées : les appareils peuvent alors être reliés en Ethernet, si l’installation le permet.
Dans son dépôt Broadcom 802.11 SDK Detection Toolkit, le chercheur fournit des outils pour reconnaître l’ancien composant Broadcom à partir des réponses Wi-Fi ou de signatures dans le logiciel des appareils.
