# WPSplinter : la faille Wi-Fi vieille de 16 ans qui prend votre routeur sans le mot de passe > Amen Security Team · 2026-10-24T20:14:13.872Z · security Votre routeur est l'appareil du bâtiment dont tout le monde dépend et auquel personne ne pense. Il est posé dans un coin, ses voyants clignotent, et il décide tranquillement de ce qui entre et sort de votre réseau — vos portables, vos téléphones, votre terminal de point de vente, la caméra au-dessus de la porte. En octobre 2026, un chercheur a montré que pour des millions de ces boîtiers, un inconnu se tenant à portée Wi-Fi peut prendre tout l'appareil sans connaître votre mot de passe Wi-Fi, sans que vous cliquiez sur quoi que ce soit, et sans que le routeur ne reçoive jamais de correctif. La faille s'appelle WPSplinter. Et ce n'est que l'élément le plus bruyant d'un mois plein de nouvelles sur les routeurs. La version courte - WPSplinter, divulguée le 16 octobre 2026 par le chercheur Quentin Kaiser, est une faille dans le code Wi-Fi Protected Setup (WPS) de Broadcom : des messages WPS EAP fragmentés malformés corrompent la mémoire du routeur et donnent à un attaquant à portée Wi-Fi une exécution de code à distance non authentifiée en tant que root — avant toute association Wi-Fi, donc sans mot de passe ni étape d'appariement. - Le code vulnérable date d'au moins 2010. Broadcom a publié un correctif incomplet en 2018, puis a recommandé aux fabricants de passer à hostapd, en open source. Aucun CVE n'a été attribué, et aucun appareil testé ne disposait d'un correctif fonctionnel au 15 octobre 2026. - Désactiver le WPS dans les paramètres de votre routeur est une bonne hygiène, mais ce N'EST PAS un correctif vérifié contre cette faille sans confirmation du fabricant. Certaines puces touchées sont, selon les mots de Kaiser, « forever day » — effectivement impossibles à corriger. - Octobre a aussi apporté 11 autres CVE de routeurs chez trois marques de petits bureaux, deux failles à 10,0 sur d'anciens modèles sans correctif, une salve de micrologiciels ASUS, et un rappel de ce que deviennent les routeurs piratés : le recrutement dans le botnet Mirai. Dans cet article : L'attaque qui saute le mot de passe · Une chronologie sans correctif à la fin · Qui possède l'une de ces boîtes · Les autres nouvelles de routeurs du même mois · Vérifiez votre routeur en 10 minutes · Que faire quand il n'y a pas de correctif · Cinq choses à demander avant de toucher au routeur · À lire à côté de ceci · La boîte dans le coin mérite un regard ce soir L'attaque qui saute le mot de passe La plupart des gens imaginent une attaque de routeur comme quelqu'un qui devine un mot de passe, ou qui vous incite à cliquer sur un lien. WPSplinter n'est ni l'un ni l'autre. Elle vit dans l'implémentation propriétaire du Wi-Fi Protected Setup de Broadcom — la fonction censée simplifier la connexion des appareils — et plus précisément dans la façon dont ce code réassemble les messages WPS EAP fragmentés, les messages d'établissement de liaison échangés pendant la configuration Wi-Fi. Envoyez au routeur un ensemble spécialement conçu de ces trames, et le code de réassemblage corrompt sa propre mémoire. De là, le chercheur a démontré deux choses qui devraient faire dresser l'oreille à tout propriétaire. Sur une passerelle Orange Belgium, un Askey TCG3000, il a lu le mot de passe Wi-Fi (la clé pré-partagée) dans la mémoire de l'appareil et l'a envoyé par les airs — puis il l'a utilisé pour rejoindre le réseau. Sur une passerelle Proximus, un Sagemcom BBOX3V+, il a ouvert un shell inversé par les trames Wi-Fi elles-mêmes, exécutant des commandes sur le routeur sans aucun serveur externe et sans aucun câble. Les deux attaques ne nécessitaient aucune authentification. Le détail qui rend cette faille pire qu'un bogue ordinaire, c'est le moment où elle frappe. Les trames malveillantes sont traitées à l'étape de pré-association — avant qu'un appareil ait rejoint le réseau, avant toute vérification de mot de passe, avant tout accès normal. Il n'y a rien sur quoi le propriétaire puisse cliquer, aucune connexion à échouer, aucune alerte à remarquer. Quiconque se trouve à portée Wi-Fi ordinaire — garé devant une maison, assis dans le café sous un bureau, marchant dans le couloir d'un hôtel — est en position. Kaiser n'a signalé aucune preuve d'attaques dans la nature, et cet article ne prétend pas le contraire. Mais la position requise est ordinaire, et la démonstration est publique. Il importe aussi de comprendre ce qu'un routeur compromis peut faire ensuite, car un routeur n'est pas un appareil comme un autre. Il voit chaque connexion qui le traverse. Un routeur piraté peut intercepter le trafic, récolter les identifiants qui y transitent, changer la destination de vos appareils, et servir de tremplin vers le reste du réseau. Pour un bureau à domicile ou une petite entreprise, le routeur est le périmètre — et cette faille le traverse sans frapper. Une chronologie sans correctif à la fin Quand Ce qui s'est passé 2010 (ou avant) Le code WPS vulnérable de Broadcom entre dans le SDK de l'entreprise. Il y restera, livré dans produit après produit, pendant 16 ans. 2018 Broadcom publie un correctif incomplet, sans divulgation publique du problème, puis recommande aux fabricants de migrer vers hostapd en open source plutôt que vers son implémentation propriétaire. La plupart ne le font pas. 18 et 27 juillet 2026 Kaiser signale la faille à Broadcom à deux reprises, déclenchant un délai de divulgation de 90 jours. 28 juillet 2026 Broadcom répond qu'un correctif est disponible et conseille à Kaiser de contacter directement les fabricants — puis refuse d'attribuer un identifiant CVE ou de partager la notification aux fabricants qu'elle dit avoir envoyée via son portail client. 4 août 2026 CERT/CC clôt son dossier, parce que Broadcom est elle-même une autorité de numérotation CVE et a refusé d'enregistrer la vulnérabilité. C'est en grande partie pourquoi cette faille n'a pas de numéro CVE à rechercher. 15 octobre 2026 La veille de la divulgation, aucun des appareils touchés identifiés par Kaiser n'a reçu de correctif. 16 octobre 2026 Kaiser présente ses résultats à Hexacon, à Paris. La faille devient publique sous le nom de « WPSplinter ». 20 octobre 2026 (mise à jour) Proximus désactive le WPS sur l'ensemble de sa flotte BBox en 24 heures et déclare attendre un correctif complet « dans les semaines à venir ». Orange Belgium déclare « examiner activement » le problème. Pour VOO, aucune réponse n'a été signalée. Lisez cette chronologie deux fois et remarquez ce qui y manque : à aucun moment une version de micrologiciel corrigée n'apparaît pour les passerelles testées. C'est toute l'histoire de cette faille. Ce n'est pas une course au correctif — c'est une faille dont le chemin de correction passe par des fabricants à qui l'on a dit il y a des années de remplacer le code, et qui ne l'ont pour la plupart pas fait. Qui possède l'une de ces boîtes Il n'existe pas de liste complète des modèles touchés, et quiconque vous en propose une devine. Ce qui existe, c'est la paire démontrée par Kaiser, une liste établie par analyse de micrologiciels, et une liste de puces — et ces trois choses ne sont pas équivalentes. Une simple correspondance de puce ne prouve pas qu'un micrologiciel donné est vulnérable, alors considérez le tableau ci-dessous comme « à vérifier », et non comme « vous êtes piraté ». Fournisseur / modèle Statut signalé Proximus BBOX 3 et BBOX3V+ (Sagemcom) — ~850 000 selon l'estimation de Kaiser WPS désactivé sur toute la flotte avant la mise à jour du 20 octobre ; correctif complet attendu « dans les semaines à venir » Orange Belgium ASKEY TCG3000 — ~210 000 selon l'estimation de Kaiser Opérateur « examinant activement » le problème ; aucun correctif confirmé Flotte historique VOO : Netgear CG3100, CG3700, Technicolor TC7210, CGA4233 — ~500 000 selon l'estimation de Kaiser Aucune réponse signalée Flotte Telenet L'opérateur déclare que sa flotte n'est pas touchée Cisco RV110W, RV130W, RV215W Confirmés par analyse de micrologiciel ; vérifiez par rapport à votre propre version de micrologiciel TP-Link Archer C3150, C5400 et série VR Confirmés par analyse de micrologiciel ; vérifiez par rapport à votre propre version de micrologiciel Netgear D6200, D7000 Confirmés par analyse de micrologiciel ; vérifiez par rapport à votre propre version de micrologiciel ASUS DSL-AC68U, DSL-AC88U, DSL-AX82U Confirmés par analyse de micrologiciel ; vérifiez par rapport à votre propre version de micrologiciel ~40 modèles DSL D-Link Confirmés par analyse de micrologiciel ; vérifiez par rapport à votre propre version de micrologiciel Modèles Zyxel, Sagemcom, Nokia, ZTE Nommés dans la liste d'appareils du chercheur, qui prévient qu'elle est incomplète Puces eCos : BCM3380, BCM3383, BCM33834 « Forever day » — effectivement impossibles à corriger ; aucun correctif fonctionnel identifié Puces Linux : BCM3390, BCM65xx, BCM68xx Le correctif dépend de la migration du fabricant vers hostapd ; rien de garanti Le total belge d'environ 1,56 million de routeurs est l'estimation propre de Kaiser, construite à partir du nombre d'abonnés et des parts de marché, qu'il décrit lui-même comme un calcul approximatif de confiance moyenne — pas un comptage d'appareils vulnérables. La lecture honnête, c'est l'ordre de grandeur : des millions de boîtiers basés sur Broadcom dans le monde entier embarquent ce code, et les boîtiers individuellement exploitables dépendent du micrologiciel qu'ils exécutent. Votre travail n'est pas de paniquer devant un chiffre mondial. C'est d'identifier la boîte dans votre coin et de découvrir ce qu'elle exécute. Les autres nouvelles de routeurs du même mois WPSplinter serait déjà un gros mois à elle seule. Octobre 2026 n'était pas ce genre de mois. Onze failles, trois marques de petits bureaux, aucun correctif. Un groupe de CVE divulgués à quelques jours d'intervalle touche le Linksys E1700 (cinq failles : CVE-2026-108892, un débordement de tampon de pile à 10,0 donnant une exécution de code à distance, plus quatre injections de commandes à 9,9 — CVE-2026-108893, 108894, 108895, 108896), le Netcore NR268 (CVE-2026-108907, authentification incorrecte à 10,0, et CVE-2026-108929, injection d'argument DDNS à 9,9) et l'Edimax BR-6208AC (CVE-2026-108917 et 108918, deux injections de commandes à 10,0, plus CVE-2026-108914 et 108915, débordements de tampon à 9,9). Des preuves de concept publiques existent pour plusieurs d'entre elles, et aucun des trois fournisseurs n'avait publié de micrologiciel corrigé au moment du signalement. Ce sont les boîtiers qui se trouvent à la lisière des bureaux à domicile, des installations de télétravailleurs et des petites succursales — souvent sans jamais figurer dans une liste d'actifs. Deux failles de gravité maximale sur du matériel ancien, aucun correctif à venir. Les TRENDnet TEW-751DR, TEW-752DRU et TEW-733GR portent CVE-2026-108804, une injection de commande du système d'exploitation non authentifiée à 10,0 dans pigwidgeon.cgi, publiée le 12 octobre 2026, avec une preuve de concept publique. Les appareils ont atteint leur fin de vie en 2011 et le fournisseur confirme qu'aucun correctif n'arrivera — le remplacement est la seule solution durable. Le TOTOLINK X6000R porte CVE-2026-105484, également à 10,0, une injection de commande non authentifiée via le champ file_name dans firmware_check, publiée le 6 octobre 2026, sans micrologiciel corrigé confirmé ; l'atténuation passe par le contrôle d'accès — garder l'interface de gestion hors de l'internet public et désactiver l'administration côté WAN. ASUS : des correctifs pour certains, un nouveau signalement pour d'autres. Le 7 octobre 2026, ASUS a publié des mises à jour de micrologiciels pour quatre failles — CVE-2026-14911, CVE-2026-16528, CVE-2026-19386 et CVE-2026-19396 — sur les séries 3.0.0.4_386, 3.0.0.4_388 et 3.0.0.6_102, avec CVE-2026-14911 et CVE-2026-19386 notés 9,3 Critique et des vecteurs incluant des téléversements de configuration conçus et des liens conçus. Par ailleurs, un chercheur a signalé une faille d'exécution de code à distance non authentifiée dans des routeurs ASUS, avec des CVE attribués le 23 octobre 2026 (CVE-2026-93489, CVE-2026-75779, CVE-2026-75775) et une date estimée de micrologiciel corrigé par le fournisseur au 15 novembre 2026. Cet article ne reprend pas le chiffre d'audience principal de ce chercheur comme un fait — c'est sa propre affirmation non vérifiée, et elle est omise ici plutôt que présentée comme un nombre. Un fournisseur a bien publié un correctif. CVE-2026-11732 de NETGEAR — validation d'entrée insuffisante dans la fonction Block Sites, permettant à un attaquant adjacent au réseau disposant d'un accès Wi-Fi d'exécuter des commandes — est corrigée dans CAX30 V2.3.4.12, RAX30 V1.0.14.108, RAX5 V1.0.5.34 et RAXE300 V1.0.10.72. Elle ne s'applique que lorsque la fonction Block Sites est activée, ce qui rappelle utilement qu'une fonction que vous n'avez jamais activée ne peut pas vous nuire, et qu'une fonction oubliée le peut toujours. Et un rappel de ce que deviennent les routeurs piratés. Le 4 octobre 2026, URLhaus a listé 27 fichiers du botnet Mirai — des versions nommées mirai.arm7, mirai.mips32 et autres — servis depuis le domaine likedrink.beer pour des routeurs, des caméras et d'autres appareils Linux. Le domaine ne se résolvait plus lors des vérifications du 11 octobre. Ce n'est pas la preuve qu'un routeur donné est infecté. C'est une image de la vie d'après d'un routeur compromis : recruté dans un botnet, loué pour des attaques contre des inconnus, pendant que son propriétaire ne remarque rien de pire qu'une connexion légèrement lente. Une faille de routeur n'est pas une faille d'ordinateur portable. Personne ne le redémarre, personne ne le met à jour, personne ne l'inventorie — et il garde tout ce qui se trouve derrière lui. C'est pourquoi un mois comme celui-ci mérite mieux qu'un haussement d'épaules. Vérifiez votre routeur en 10 minutes Aucun nouveau logiciel n'est nécessaire. Il vous faut dix minutes et le boîtier lui-même. Parcourez cette liste sur le routeur qui dessert votre bureau à domicile ou votre entreprise — pas seulement sur celui que vous avez en tête. Tout votre réseau domestique passe par le routeur : ordinateur, téléphone, téléviseur, caméra, enceinte — un seul boîtier non corrigé les expose tous. - Étape 1 — Lisez l'étiquette. Retournez le boîtier (ou regardez l'autocollant dessous) et notez le modèle exact et la version matérielle. « Routeur ASUS » n'est pas une réponse ; « DSL-AC68U, version matérielle A » en est une. - Étape 2 — Connectez-vous et notez le micrologiciel. Ouvrez la page d'administration depuis un appareil de votre propre réseau, connectez-vous, et notez la version du micrologiciel et sa date. Si vous utilisez toujours le mot de passe d'administration par défaut, changez-le immédiatement — c'est un autre problème, plus ancien, et sa correction est gratuite. - Étape 3 — Posez deux questions au fournisseur. Sur la page d'assistance du fournisseur pour votre modèle exact : ce modèle est-il toujours pris en charge, ou est-il en fin de vie ? Et existe-t-il un micrologiciel plus récent que celui que vous utilisez ? Un modèle sans prise en charge ne peut pas être corrigé, quelle que soit la faille. - Étape 4 — Regardez le WPS. Notez si le WPS est activé ou non. Le désactiver est une hygiène raisonnable, et Proximus l'a fait sur toute sa flotte — mais souvenez-vous du point honnête du début de cet article : désactiver le WPS via les paramètres standard n'est pas un correctif confirmé contre WPSplinter sans confirmation du fabricant. Considérez-le comme une réduction de l'exposition, pas comme la fermeture de la brèche. - Étape 5 — Supprimez l'administration à distance. L'administration côté WAN doit être désactivée, et l'interface de gestion ne doit pas être joignable depuis l'internet. Si vous pouvez atteindre la page de connexion de votre routeur depuis la connexion mobile de votre téléphone (pas votre Wi-Fi), c'est un problème à régler ce soir, avant tout le reste de cette liste. - Étape 6 — Prenez la décision remplacer-ou-attendre. Corrigé et pris en charge : vous avez terminé, et fixez-vous un rappel pour revérifier dans un trimestre. Impossible à corriger, en fin de vie, ou sans correctif du fournisseur : prévoyez un remplacement, et en attendant, isolez le boîtier — mettez les appareils non fiables sur un réseau invité et gardez la page d'administration du routeur hors de l'internet. En attente d'un correctif promis par le fournisseur : notez la date promise et revérifiez à cette date au lieu de supposer qu'il a été livré. - Étape 7 — Une note honnête sur le redémarrage. Un redémarrage efface certains logiciels malveillants transitoires de la mémoire d'un routeur, mais il ne corrige pas une faille et ne supprime pas une compromission persistante. Redémarrez si vous voulez ; ne le confondez pas avec un correctif. Si vous souhaitez un deuxième regard sur le résultat — en particulier la question de la fin de vie et la décision remplacer-ou-attendre, les deux endroits où l'on se trompe le plus souvent — [une évaluation gratuite effectuera la vérification du routeur avec vous, et les résultats restent vôtres dans tous les cas](/fr/contact). Que faire quand il n'y a pas de correctif La plupart des conseils de sécurité supposent qu'un correctif existe et que votre travail consiste à l'installer. Ce mois-ci brise cette hypothèse pour beaucoup de routeurs, alors les conseils doivent changer de forme. D'abord, séparez les deux questions que les gens fusionnent en une seule : « mon boîtier est-il vulnérable ? » et « que dois-je faire ? ». La première question peut véritablement rester sans réponse pour votre micrologiciel exact — la liste du chercheur est incomplète, et une correspondance de puce n'est pas une preuve. Cette incertitude n'est pas une raison de ne rien faire. C'est une raison d'agir sur la deuxième question avec les informations dont vous disposez : statut de prise en charge, date du micrologiciel et exposition. Un boîtier pris en charge avec un correctif du fournisseur en route est un jeu d'attente avec une date dessus. Un boîtier en fin de vie sans correctif à venir est une décision de remplacement, pas une tâche de surveillance. Ensuite, réduisez la surface d'impact en attendant. Un routeur injoignable depuis l'internet, dont l'administration à distance est désactivée et qui maintient les appareils non fiables sur un réseau invité est une cible bien moins utile qu'un routeur laissé grand ouvert — même si la faille sous-jacente est toujours là. Rien de tout cela ne remplace un correctif. Tout cela vaut la peine d'être fait ce soir, parce que cela ne coûte rien et que cela aide contre chaque faille de routeur de cet article, pas seulement contre WPSplinter. Enfin, inscrivez les routeurs au même calendrier que tout le reste de ce que vous entretenez. La raison pour laquelle les nouvelles de ce mois sont si mauvaises n'est pas seulement la gravité des failles ; c'est que les appareils concernés passent des années sans que personne les regarde. Une vérification trimestrielle de dix minutes — modèle, date du micrologiciel, statut de prise en charge — aurait repéré les boîtiers TRENDnet en fin de vie il y a des années et repérerait le prochain WPSplinter la semaine de son arrivée. Les entreprises blessées par les failles de routeurs sont rarement celles qui ont les pires routeurs. Ce sont celles qui n'ont aucune routine du tout. Cinq choses à demander avant de toucher au routeur Mon routeur est-il touché par WPSplinter ? Peut-être — et c'est la réponse honnête jusqu'à ce que vous vérifiiez. Si votre boîtier est l'une des passerelles démontrées d'un fournisseur d'accès, ou un modèle confirmé par analyse de micrologiciel, ou s'il embarque une puce Broadcom des familles listées, mettez-le sur la liste de vérification. Si vous ne pouvez pas identifier la puce, utilisez le modèle et la version du micrologiciel : demandez au fournisseur, ou consultez la liste d'appareils et les outils de détection du chercheur. Une correspondance de puce seule ne prouve pas que votre micrologiciel est vulnérable, et l'absence d'un modèle dans une liste incomplète ne prouve pas que vous êtes en sécurité. Désactiver le WPS corrige-t-il le problème ? Pas comme correctif vérifié, non. Kaiser est explicite : désactiver le WPS via les paramètres standard du routeur ne doit pas être considéré comme un correctif vérifié sans confirmation du fabricant. La désactivation du WPS par Proximus sur toute sa flotte est une atténuation en attendant un correctif complet, pas un correctif. Désactivez-le — cela réduit l'exposition et ne coûte rien — mais ne cochez pas la case pour passer à autre chose. Quelqu'un peut-il exploiter cette faille depuis l'internet, ou faut-il être à proximité ? WPSplinter elle-même exige une portée Wi-Fi — c'est une attaque radio, pas une attaque internet. Ce n'est rassurant que jusqu'à un certain point : « à proximité » inclut la rue devant chez vous, le café en bas de votre bureau et le bureau voisin. Et les autres failles de cet article ont des portées différentes — les injections de commandes TRENDnet et TOTOLINK peuvent être déclenchées à distance si l'interface de gestion est joignable, ce qui est exactement pourquoi l'étape 5 de la vérification ci-dessus compte pour chaque routeur, pas seulement pour les routeurs WPSplinter. Mon routeur figure sur une liste de touchés mais mon fournisseur d'accès ou mon fournisseur ne dit rien — que dois-je faire ? Contactez-les avec votre modèle exact et votre version de micrologiciel et posez trois questions : mon micrologiciel est-il touché, un correctif est-il prévu, et à quelle date ? S'il n'y a pas de réponse ou pas de date, traitez le boîtier comme impossible à corriger à des fins de planification : isolez-le et prévoyez un remplacement. Le silence d'un fournisseur est une information, même quand ce n'est pas celle que vous vouliez. J'ai l'un des modèles du groupe SOHO, TRENDnet ou TOTOLINK — le remplacement est-il vraiment la seule solution ? Pour les modèles TRENDnet, oui — fin de vie depuis 2011, le fournisseur confirme aucun correctif, exploit public disponible. Pour le TOTOLINK X6000R et les trois marques du groupe SOHO, aucun micrologiciel corrigé n'avait été publié au moment du signalement, donc le remplacement est la réponse durable et le contrôle d'accès (interface de gestion hors de l'internet, administration WAN désactivée, réseaux fiables uniquement) est le pont en attendant. Un pont n'est pas une destination ; ne le laissez pas en devenir une. À lire à côté de ceci - [PHP2Shell : les failles PHP d'octobre 2026 et la vérification de 15 minutes pour votre site Web](https://amensecurity.ca/fr/blog/php2shell-critical-php-vulnerability-canada-2026) — l'autre faille majeure de la même semaine, et la même leçon de l'autre côté de la pile : la couche sous votre code a besoin de son propre correctif. - [Node2Shell (CVE-2026-111497) : la faille Brotli dans Node, Python et tout ce qui l'intègre](https://amensecurity.ca/fr/blog/node2shell-nodejs-brotli-rce-october-2026) — un seul décodeur intégré partout, et le travail d'inventaire que sa correction exige réellement. - [Votre sauvegarde Microsoft 365 peut aussi être attaquée](https://amensecurity.ca/fr/blog/microsoft-365-backup-security-checklist) — la leçon d'octobre 2026 sur l'accès connecté : une connexion de confiance, exploitée discrètement, sans aucun mot de passe. La boîte dans le coin mérite un regard ce soir Voici ce qu'il faut retenir de ce mois : le routeur est le seul appareil que vous possédez auquel tous les autres font entièrement confiance, et c'est le seul que vous ne regardez jamais. Une faille vieille de seize ans, un groupe de bogues de gravité maximale et deux boîtiers en fin de vie sans correctif à venir ont tous débarqué en quelques semaines — et la plupart seront toujours là, non corrigés, dans un an, parce que personne ne les a inscrits à un calendrier. Alors inscrivez le vôtre. Dix minutes ce soir : modèle, date du micrologiciel, statut de prise en charge, administration à distance désactivée, et une décision remplacer-ou-attendre que vous pouvez défendre. C'est tout le travail, et il est plus petit que l'inquiétude qu'il remplace. Si le menu du routeur est le dernier endroit où vous voulez passer votre soirée, laissez notre évaluation gratuite prendre la vérification en charge — nous chercherons le modèle, lirons les dates des micrologiciels et vous donnerons la réponse franche remplacer-ou-attendre. Aucune obligation n'y est attachée, et les résultats sont à vous. Encadré de confiance — sources et révision - WPSplinter, divulguée le 16 octobre 2026 par le chercheur Quentin Kaiser (présentation à Hexacon, Paris) : implémentation WPS propriétaire de Broadcom, messages WPS EAP fragmentés malformés, corruption de mémoire, exécution de code à distance non authentifiée en tant que root à portée Wi-Fi, étape de pré-association, sans mot de passe, sans étape d'appariement. Démonstrations : Orange Belgium Askey TCG3000 (mot de passe Wi-Fi/PSK extrait par les airs) ; Proximus Sagemcom BBOX3V+ (shell inversé par trames Wi-Fi, sans serveur externe). - Code SDK vulnérable datant d'au moins 2010 ; correctif incomplet de Broadcom en 2018, recommandation ultérieure de migration vers hostapd ; aucun CVE attribué (Broadcom en tant qu'autorité de numérotation CVE a refusé ; dossier CERT/CC clos le 4 août 2026) ; aucun correctif fonctionnel sur les appareils testés au 15 octobre 2026 ; aucune preuve d'attaques dans la nature signalée par Kaiser. - Puces : eCos BCM3380, BCM3383, BCM33834 (« forever day ») ; Linux BCM3390, BCM65xx, BCM68xx (correctif dépendant de la migration du fabricant vers hostapd). Estimation belge ~1,56 million (estimation de Kaiser basée sur les abonnés, confiance moyenne — pas un comptage) : ~850 000 Proximus BBOX 3/3V+, ~500 000 flotte historique VOO (Netgear CG3100, CG3700, Technicolor TC7210, CGA4233), ~210 000 Orange Belgium ASKEY TCG3000 ; Telenet déclare sa flotte non touchée. Modèles confirmés par analyse de micrologiciel : Cisco RV110W, RV130W, RV215W ; TP-Link Archer C3150, C5400, série VR ; Netgear D6200, D7000 ; ASUS DSL-AC68U, DSL-AC88U, DSL-AX82U ; ~40 modèles DSL D-Link ; Zyxel, Sagemcom, Nokia, ZTE (liste incomplète ; une correspondance de puce seule ne prouve pas qu'un micrologiciel donné est vulnérable). Réponses : Proximus WPS désactivé sur toute la flotte en 24 heures avant la mise à jour du 20 octobre, correctif complet attendu « dans les semaines à venir » ; Orange Belgium « examinant activement » ; VOO aucune réponse signalée. Désactiver le WPS via les paramètres standard n'est pas un correctif vérifié sans confirmation du fabricant (Kaiser). - Groupe SOHO, octobre 2026 : Linksys E1700 CVE-2026-108892 (10,0), CVE-2026-108893/108894/108895/108896 (9,9) ; Netcore NR268 CVE-2026-108907 (10,0), CVE-2026-108929 (9,9) ; Edimax BR-6208AC CVE-2026-108917/108918 (10,0), CVE-2026-108914/108915 (9,9) ; preuves de concept publiques existantes ; aucun micrologiciel corrigé d'aucun des trois fournisseurs au moment du signalement. - TRENDnet TEW-751DR/752DRU/733GR : CVE-2026-108804, CVSS 10,0, injection de commande du système d'exploitation non authentifiée dans pigwidgeon.cgi, publiée le 12 octobre 2026, preuve de concept publique, fin de vie depuis 2011, le fournisseur confirme aucun correctif. - TOTOLINK X6000R : CVE-2026-105484, CVSS 10,0, injection de commande non authentifiée via le champ file_name dans firmware_check, publiée le 6 octobre 2026, aucun micrologiciel corrigé confirmé ; l'atténuation passe par le contrôle d'accès. - Micrologiciel ASUS du 7 octobre 2026 : CVE-2026-14911, CVE-2026-16528, CVE-2026-19386, CVE-2026-19396 sur les séries 3.0.0.4_386, 3.0.0.4_388, 3.0.0.6_102 ; CVE-2026-14911 et CVE-2026-19386 notés 9,3 Critique. Signalement séparé d'exécution de code à distance non authentifiée ASUS : CVE attribués le 23 octobre 2026 (CVE-2026-93489, CVE-2026-75779, CVE-2026-75775) ; micrologiciel corrigé estimé par le fournisseur au 15 novembre 2026. Le chiffre d'audience principal du chercheur est omis car non vérifié. - NETGEAR CVE-2026-11732 (validation d'entrée Block Sites) : corrigé dans CAX30 V2.3.4.12, RAX30 V1.0.14.108, RAX5 V1.0.5.34, RAXE300 V1.0.10.72 ; s'applique uniquement lorsque Block Sites est activé. - Mirai : 4 octobre 2026, URLhaus a listé 27 fichiers du botnet Mirai servis depuis likedrink.beer pour des routeurs, des caméras et des appareils Linux ; domaine ne se résolvant plus lors des vérifications du 11 octobre. - Révisé : 24 octobre 2026. Par Amen Security, une équipe winnipegoise de services TI gérés et de développement web et d'applications, au service des petites et moyennes entreprises canadiennes et américaines. Aucun service, prix, partenariat ou certification n'est revendiqué dans cet article au-delà de ce que le site en direct prouve. ## Sujet : Cybersécurité et conformité - [Guide principal](https://amensecurity.ca/fr/services/cybersecurity.md) - [TI gérées ou dépannage à la demande : comparaison côte à côte](https://amensecurity.ca/fr/guides/msp-vs-break-fix.md) --- Source page: https://amensecurity.ca/fr/blog/wpsplinter-router-wifi-flaw-october-2026 Markdown version for AI agents · Amen Security Email: info@amensecurity.ca Phone: +1 (204) 514-3536