Quentin Kaiser décrit une faille WPS de Broadcom sur des box belges

Le 16 octobre 2026, le chercheur en sécurité Quentin Kaiser a rendu publique une faille dans l’implémentation propriétaire du WPS de Broadcom. Selon lui, des messages WPS fragmentés peuvent provoquer une corruption mémoire et permettre la divulgation d’informations ou l’exécution de code par Wi-Fi, sans connaître la clé du réseau ni achever la procédure normale d’association WPS. Kaiser décrit le défaut et ses démonstrations.

Ce que permet la faille rapportée

WPS, ou Wi-Fi Protected Setup, est une fonction destinée à simplifier la connexion d’appareils à un réseau Wi-Fi. Le défaut décrit par Kaiser concerne le réassemblage de messages WPS fragmentés. Il rapporte que l’exploitation peut entraîner une divulgation contrôlée d’informations ou l’exécution de code. L’attaque passe par Wi-Fi et ne nécessite ni la clé du réseau ni la fin de l’association WPS habituelle.

Lors de sa divulgation, Kaiser disait n’avoir connaissance d’aucune attaque réelle exploitant cette faille.

Deux démonstrations sur des box belges

Kaiser décrit deux résultats sur des gateways distinctes. Sur une ASKEY TCG3000 d’Orange Belgium, la démonstration a récupéré la clé prépartagée du Wi-Fi, appelée PSK, puis l’a utilisée pour rejoindre le réseau. Sur une BBOX3V+ de Proximus, elle a ouvert un shell inversé au moyen de trames 802.11, les trames radio du Wi-Fi.

Les modèles cités par Kaiser

Les modèles que Kaiser rapporte comme vulnérables sont associés à trois fournisseurs belges :

• Proximus : BBOX 3 et BBOX3V+.
• VOO : Netgear CG3100, Netgear CG3700, Technicolor TC7210 et CGA4233.
• Orange Belgium : ASKEY TCG3000.

Kaiser estime à 850 000 le nombre de gateways Proximus concernées, à environ 500 000 celui des gateways de l’ancien parc VOO et à 210 000 celui des gateways Orange Belgium. Il qualifie ces estimations de calculs sommaires, avec un niveau de confiance moyen.

Kaiser a également cité les Telenet F@ST3896LG et F@ST5685LGB comme modèles « à confirmer » et indique ne pas avoir pu tester de gateway Telenet.

Disponibilité du correctif et état des gateways

Kaiser indique que, le 28 juillet 2026, Broadcom lui a répondu qu’un correctif était disponible et a conseillé aux fabricants concernés de contacter Broadcom. Dans son état des lieux du 15 octobre, il rapporte que les gateways identifiées restaient sans correctif déployé. Le premier constat porte sur la disponibilité d’un correctif chez Broadcom ; le second, sur l’état des appareils concernés.

Kaiser fait remonter le code vulnérable à au moins 2010 et situe en 2018 un correctif incomplet. Au 19 octobre 2026, The Hacker News indiquait n’avoir trouvé aucun identifiant CVE attribué à la faille. Son article daté du 19 octobre rapporte également que Broadcom avait refusé d’en attribuer un, selon Kaiser.

Deux familles de puces et des perspectives de correction différentes

Kaiser distingue des familles de puces eCos et Linux. Pour les premières, il dit n’avoir trouvé aucun correctif utilisable. Pour les secondes, une correction pourrait nécessiter que les fabricants migrent vers un autre logiciel Wi-Fi.

Ce que les outils de triage peuvent indiquer

Kaiser fournit une règle YARA pour examiner des micrologiciels et un script de reconnaissance des points d’accès en fonctionnement. Il les présente comme des outils de triage ; il prévient que des appareils déjà corrigés peuvent également correspondre à leurs critères.