Le 23 octobre 2026, Quentin Kaiser a précisé que sa reconstitution du correctif Broadcom de 2018 ne permettait pas de rattacher les changements à une version précise du SDK. Son analyse décrit des conditions d’exploitation qui varient selon le micrologiciel, la bibliothèque utilisée et l’organisation de la mémoire. En France, sa liste comporte des entrées Neuf NB6 et NB6VAC associées à SFR, ainsi qu’un ZTE F680 v4 associé à FranceReunicable.

Ce que la reconstitution du correctif permet de dire

Kaiser a construit sa chronologie à partir de versions de code Broadcom divulguées et de leurs horodatages. Il précise que cette reconstitution n’est pas un dépôt authentique de Broadcom : les fichiers peuvent venir de branches, de produits ou de versions du SDK différents. Les horodatages ne déterminent donc pas à quel SDK le changement a été intégré ni quand il a atteint les équipements.

Dans le correctif candidat qu’il a étudié, Kaiser décrit un fragment malformé qui peut passer certaines vérifications et provoquer une copie hors limites en mémoire. Selon la bibliothèque C et la configuration du processeur, cette erreur peut aller jusqu’à un écrasement exploitable. Sa conclusion dépend du build, de la disposition mémoire et de l’implémentation de la bibliothèque présents dans l’appareil. Son analyse détaillée du correctif de 2018 expose ces conditions.

Notre premier article sur la faille WPS de Broadcom revenait sur la divulgation initiale et les démonstrations réalisées sur des box belges.

Les références françaises figurant dans la liste

La liste publique WPSplinter de Kaiser mentionne Neuf NB6 associé à SFR, ainsi que des entrées NB6VAC associées à SFR et RED by SFR. Pour le NB6VAC, les versions de micrologiciel indiquées sont 4.0.44d, 4.0.44f, 4.0.44i, 4.0.44j, 4.0.44k, 4.0.45, 4.0.45c, 4.0.45d et 4.0.46. La liste comprend aussi le ZTE F680 v4, associé à FranceReunicable. Kaiser marque ces entrées comme confirmées dans sa liste.

Les révisions matérielles et logicielles peuvent varier au sein d’une même famille. Pour une box précise, comparez sa référence complète et son micrologiciel à l’entrée correspondante dans la liste WPSplinter de Quentin Kaiser.

Le composant logiciel au cœur de la faille

La faille concerne WPS Monitor, un ancien composant Broadcom qui traite notamment le réassemblage de fragments EAP-WPS. WPS signifie Wi-Fi Protected Setup, une fonction de configuration du réseau sans fil. Selon Kaiser, un attaquant situé à portée radio peut atteindre le parseur sans connaître la clé Wi-Fi et sans terminer l’association WPS.

Kaiser a décrit des effets différents sur deux appareils belges. Sur une ASKEY TCG3000 d’Orange Belgium, il a récupéré la clé Wi-Fi stockée en mémoire. Sur une BBOX3V+ de Proximus, il a obtenu un shell inversé au moyen de trames 802.11. Ces démonstrations illustrent les conséquences possibles sur les appareils concernés par le composant vulnérable.

Le nom d’une puce Broadcom ou celui d’un système comme OpenWrt ne suffit pas à déterminer le risque : c’est le micrologiciel installé et la présence de l’ancien WPS Monitor qui comptent. Kaiser indique qu’un SDK ultérieur a remplacé ce composant par hostapd. Les appareils dépendent toutefois des mises à jour préparées par leur fabricant ou leur fournisseur d’accès ; il signale aussi que certains anciens produits basés sur eCos peuvent ne pas avoir de voie de migration.

Désactiver WPS dans le menu de la box ne garantit pas que le parseur vulnérable soit arrêté. Kaiser recommande de demander à l’opérateur ou au fabricant si le micrologiciel de la référence exacte corrige le problème. Un réglage visible dans l’interface et l’état du composant logiciel sont deux choses différentes.

Les opérateurs belges selon le point du 20 octobre

Dans sa mise à jour du 20 octobre 2026, Kaiser rapportait que Proximus avait désactivé WPS sur son parc de box BBOX et prévoyait un correctif plus complet dans les semaines suivantes. Il indiquait que les ingénieurs de Telenet n’avaient trouvé aucun processus wps_monitor vulnérable dans leur parc. Orange Belgium étudiait alors une action à l’échelle de l’infrastructure concernée.