© Orange / Montage 01net Un chercheur belge a dévoilé à la conférence Hexacon une faille qui permet de pirater certaines box Internet à distance, sans connaître le mot de passe du Wi-Fi. En France, une Livebox 5 d’Orange et des box SFR sont concernées. En Belgique, jusqu’à 1,5 million d’appareils pourraient être vulnérables.
La faille a été découverte par Quentin Kaiser, un chercheur belge spécialisé dans la cybersécurité. Présentée à la conférence Hexacon de Paris, la vulnérabilité se trouve dans une vieille version du WPS de Broadcom, un fabricant dont les puces sont présentes dans de nombreuses box. Il s’agit de la fonction qui permet de connecter un appareil au Wi-Fi sans taper le mot de passe. just confirmed the presence of Broadcom’s vulnerable wps_monitor in ZTE F680 v4 deployed by MasMovil, ThailandToT, Telkom, Linkstar, Mnc, Viettel, VNPT, EgyptTEData, Ais, MTN, FranceReunicable, RTC, Indosat, MAXCom, EKT, OSP, and Moldtelecom https://t.co/Q5o5dwqQja — Quentin Kaiser (@qkaiser) October 17, 2026 Le chercheur explique avoir découvert un problème au niveau de la gestion des données échangées lors de la procédure de connexion sans mot de passe.
En exploitant la brèche, un pirate peut prendre le contrôle de la box sans en connaître le mot de passe, et même sans être connecté au réseau. Il doit simplement se trouver à la portée du réseau Wi-Fi. « On peut obtenir un accès complet à un routeur depuis l’autre côté de la rue, sur une proportion importante des box en Belgique, et probablement ailleurs », explique Quentin Kaiser.
Lors de ses démonstrations, le chercheur a récupéré le mot de passe Wi-Fi d’une box belge, puis en a pris le contrôle total en s’appuyant sur la vulnérabilité. Il explique s’être servi de « modèles d’IA de pointe » pour dénicher la faille en moins d’une semaine. « J’aurais pu mener cette recherche seul, mais cela m’aurait pris des mois », ajoute le chercheur.
À lire aussi : Google corrige 37 nouvelles failles Chrome, l’IA accélère encore la cadence des mises à jour Un bug vieux de seize ans La défaillance n’est pas nouvelle. D’après le chercheur, elle se trouve dans le logiciel de Broadcom depuis 2010. L’entreprise a corrigé le tir avec une mise à jour en 2018, mais de nombreux fabricants de box ne l’ont jamais installée.
De facto, seize ans après son apparition, la faille est toujours exploitable sur des appareils qui sont toujours en service. Comme le souligne l’expert, Broadcom a toujours refusé d’attribuer un numéro CVE à la vulnérabilité, c’est-à-dire l’identifiant officiel qui sert à alerter l’ensemble des fabricants d’un problème dans un logiciel. C’est en partie pourquoi les équipements sont restés privés de correctifs pendant plus d’une décennie.
À lire aussi : Des failles de sécurité dans plus de 16.000 Orange Livebox Quelles box sont concernées en France ? Pour déterminer le nombre d’appareils encore vulnérables, le chercheur a sillonné Paris et scanné tous les réseaux Wi-Fi environnants. Il s’est ainsi rendu compte que la Livebox 5 d’Orange et les box SFR « Box Plus » étaient toujours vulnérables.
Celles-ci n’ont jamais eu droit à un correctif pour la faille de Broadcom. Attention, seules la version Sagemcom Fast5656 de la Livebox 5 et la version NB6VAC de la box de SFR sont vulnérables. A contrario, la Livebox 6 d’Orange et la Bbox Wi-Fi 7 de Bouygues Telecom ont eu droit à une mise à jour.
Aucune Freebox n’est visiblement touchée. Mauvaise nouvelle, ça ne sert à rien de changer son mot de passe Wi-Fi. Le défaut se corrige uniquement par une mise à jour de la box déployée par l’opérateur.
On vous conseille donc de laisser votre box installer ses mises à jour automatiquement. Le chercheur y voit surtout un avertissement d’une accumulation de « notre dette technique », qui « finira par nous être réclamée ». Pour l’heure, rien n’indique que la faille a été exploitée par des cybercriminels. 👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp. cybersécuritéfaille de sécuritéOrangeSFRWi-Fi Florian Bayard Sur le même sujet Des pirates se servent peut-être de votre serveur Plex pour miner des cryptos 3 125 km sous l’Atlantique : Orange va déployer un câble géant entre l’Irlande et le Portugal Google corrige 37 nouvelles failles Chrome, l’IA accélère encore la cadence des mises à jour Ceci n’est pas un smartphone : le géant des cryptos Ledger dévoile Atom, un « coffre-fort » sous Android Meilleur antivirus : lequel choisir en 2026 ?
Quel est le meilleur VPN ? Meilleur stockage cloud en 2026 : lequel choisir ? Comment accéder au Dark Web ?
Tutoriel 3 étapes 2026 Meilleur gestionnaire de mots de passe : le guide en octobre 2026 Meilleur VPN gratuit : 7 options sérieuses + 2 à fuir Les dernières actualités Deux palettes de cartes graphiques Nvidia ont disparu : la cargaison valait 440 000 euros Des pirates se servent peut-être de votre serveur Plex pour miner des cryptos Ces box Orange et SFR peuvent se faire pirater à distance grâce à une faille Wi-Fi Permis de conduire valable 15 ans : la France va dire adieu au permis à vie Test Apple Watch Series 12 : une montre connectée plus précise, mieux armée, mais toujours la même faiblesse « La partie émergée d’un iceberg » : après les frigos, quels appareils risquent aussi de se faire pirater ? À 43 990 €, le Volkswagen ID. Tiguan premier prix est bien équipé, mais fait un gros compromis Arnaques en ligne : les banques devront désormais rembourser les victimes, même en cas de négligence grave Les tests à la une AirPods Pro 3 Google Pixel 9a Google Pixel 10 Google Pixel 10 Pro XL iPhone 17 iPhone 17 Pro iPhone 16e Samsung Galaxy S25 Samsung Galaxy S25 Ultra Samsung Galaxy A56 Samsung Galaxy A26 Samsung Galaxy A17 Starlink Xiaomi Redmi Note 14 4G Xiaomi Redmi Note 14 Pro Xiaomi 15T Pro