Une faille dans l’implémentation propriétaire 802.11 de Broadcom permettrait, selon les informations disponibles, à un attaquant situé dans la portée d’un réseau Wi-Fi d’exécuter du code sur les routeurs concernés, sans connaître le mot de passe du réseau, sans mener à bien l’enrôlement WPS et sans aucune interaction de l’utilisateur.
Le chercheur Quentin Kaiser a présenté ses conclusions à Hexacon, à Paris. Selon le rapport de Security Affairs du 19 octobre 2026, le code vulnérable est présent dans le SDK de Broadcom depuis 2010 au moins.
Kaiser a démontré l’exploitation sur des routeurs fournis par Orange Belgium et Proximus. Il estime que plus de 1,5 million de passerelles pourraient être exposées rien qu’en Belgique, bien que ce chiffre ne désigne pas des appareils vulnérables confirmés, des systèmes compromis ou des clients individuels.
Le réassemblage EAP de WPS ouvre une voie d’attaque avant authentification
La faille touche le code de réassemblage EAP de WPS, utilisé lors de la configuration sans fil. Selon Kaiser, des trames Wi-Fi spécialement construites peuvent atteindre le composant vulnérable avant même que l’attaquant ne se soit authentifié sur le réseau.
Une exploitation réussie permettrait, selon les informations disponibles, une divulgation d’informations contrôlée et l’exécution de code arbitraire. Comme l’attaque passe par la radio locale et non par internet, l’auteur doit se trouver à portée du Wi-Fi. Kaiser a déclaré que la proximité des antennes utilisée dans sa démonstration en laboratoire n’était pas une condition opérationnelle et que l’exploitation fonctionne à plus grande distance.
Sur un ASKEY TCG3000 d’Orange Belgium, la démonstration a extrait la clé pré-partagée (PSK) du Wi-Fi depuis la NVRAM, puis l’a retransmise par Wi-Fi. Chercheur a ensuite utilisé cette PSK pour rejoindre le réseau.
Une démonstration distincte visait un Sagemcom F@st / BBOX3V+ de Proximus. Dans ce cas, l’attaque a ouvert un reverse shell à partir de trames Wi-Fi seulement, sans s’appuyer sur un serveur de commande accessible depuis internet ni sur une infrastructure cloud de commande et contrôle (C2).
Ces tests font apparaître deux conséquences distinctes : un attaquant pourrait récupérer les identifiants qui protègent le réseau local, ou obtenir directement l’exécution de code sur la passerelle. Un accès au niveau du routeur pourrait aussi mettre en danger le trafic qui transite par l’appareil.
Les chipsets couvrent des plateformes eCos et Linux
Dans son évaluation, Kaiser a identifié les familles de chipsets suivantes :
- Basées sur eCos : BCM3380, BCM3383 et BCM33834
- Basées sur Linux : BCM3390, BCM65xx et BCM68xx
Il a qualifié le problème eCos de « definitive forever day », affirmant que la conception sous-jacente empêche toute réparation efficace. Pour les systèmes basés sur Linux, il a employé l’expression « potential forever day », car la correction dépend de la migration des fabricants d’équipements loin de l’implémentation concernée.
Selon Kaiser, Broadcom avait recommandé aux fabricants de passer à hostapd. Il a également indiqué qu’un correctif publié en 2018 n’avait pas entièrement résolu le problème.
Les appareils ayant fait l’objet de démonstrations sont :
- ASKEY TCG3000 d’Orange Belgium
- Sagemcom F@st / BBOX3V+ de Proximus
Des équipements Telenet pourraient également être concernés par l’intermédiaire d’appareils Sagemcom, mais Kaiser n’a pas pu se procurer un exemplaire pour le confirmer. Plus largement, ces chipsets figureraient dans des centaines de produits de dizaines de fabricants, même si le rapport ne fournit pas de liste complète des modèles.
L’estimation d’exposition en Belgique dépasse 1,5 million de passerelles
En s’appuyant sur des données du marché belge des télécommunications, Kaiser a produit une estimation approximative des équipements potentiellement exposés :
| Fournisseur ou parc | Passerelles estimées |
|---|---|
| Proximus | environ 850 000 |
| Parc historique de VOO | environ 500 000 |
| Orange Belgium | environ 210 000 |
Il chiffre le total à « plus de 1,5 million » de passerelles. Ces nombres estiment l’exposition liée au déploiement ; ils ne permettent pas de savoir combien de routeurs contiennent un micrologiciel exploitable, ni combien ont été attaqués.
Le risque concret est le plus élevé là où des personnes non fiables peuvent rester à portée radio, comme dans les hôtels et autres lieux partagés, ou lorsqu’une cible précise située à proximité est surveillée. Contrairement à une intrusion classique depuis internet, la technique décrite ne exige pas que l’interface de gestion du routeur soit accessible publiquement.
Les déclarations sur les correctifs contredisent l’état des appareils
Kaiser affirme avoir signalé les failles à Broadcom en juillet 2026. Selon son récit, Broadcom a répondu qu’un correctif était disponible et a demandé aux fabricants d’appareils concernés de le contacter directement.
Cette position est difficile à concilier avec la conclusion de Kaiser selon laquelle le correctif de 2018 était incomplet. Security Affairs rapporte qu’à la date du 15 octobre 2026, aucun des appareils belges concernés n’avait reçu de correctif.
Kaiser indique par ailleurs que Broadcom a refusé d’attribuer une CVE et n’a pas voulu partager la notification de sécurité diffusée via son portail clients. Le CERT/CC a ensuite ouvert un dossier, puis l’a clôturé le jour même après avoir confirmé que Broadcom pouvait attribuer lui-même des CVE et n’avait pas l’intention de le faire.
La correction au niveau du déploiement reste donc à la charge des fabricants de routeurs et des fournisseurs d’accès à internet. Les clients ne peuvent généralement pas remplacer eux-mêmes le code vulnérable du SDK.
Les utilisateurs des routeurs cités doivent se renseigner auprès de leur fournisseur sur une mise à jour du micrologiciel ou un remplacement matériel propre à leur modèle. Le simple changement du mot de passe Wi-Fi ne suffirait pas à empêcher le déclenchement initial, sans authentification, décrit par Kaiser, même si un changement reste justifié si une clé est soupçonnée d’avoir été exposée. Désactiver WPS ne doit pas être considéré comme une solution de contournement confirmée sur la seule base du rapport disponible.
Les organisations qui gèrent des passerelles doivent donner la priorité à l’inventaire des sites où des personnes extérieures peuvent facilement rester à portée du Wi-Fi, et appliquer les micrologiciels fournis par les fabricants dès leur disponibilité. Pour les équipements basés sur eCos, l’évaluation de Kaiser suggère que le remplacement pourrait être nécessaire si aucune correction prise en charge n’est publiée.
L’analyse assistée par IA a raccourci la recherche
Kaiser attribue la rapidité de la découverte à l’analyse de code assistée par IA. « Avec les modèles d’IA de pointe, il m’a fallu moins d’une semaine », a-t-il déclaré, alors qu’une revue manuelle aurait nécessité, selon lui, plusieurs mois.
Il s’agit de l’appréciation du chercheur sur sa propre méthode de travail, et non d’une mesure indépendante des capacités des modèles. Cela illustre néanmoins la manière dont l’analyse assistée par IA peut réduire le temps nécessaire pour examiner d’anciens codes réseau propriétaires, un avantage accessible aux chercheurs en vulnérabilités et, potentiellement, aux attaquants qui examinent le même logiciel.
