Certaines Livebox 5 et SFR Box Plus piratables sans mot de passe

Concerné ?

Deux variantes relevées à Paris sont concernées : la Livebox 5 Sagemcom Fast5656 et la SFR Box Plus NB6VAC.

Le modèle seul ne permet pas de conclure pour toutes les box de ces gammes. Dans le même relevé, une Livebox 6 et une Bbox Wi-Fi 7 étaient corrigées ; aucune Freebox n’y apparaissait.

Comment on le sait

Une faille dans le traitement des échanges WPS pourrait permettre d’exécuter du code sur la box sans être connecté au réseau. Clubic l’a rapporté le 18 octobre 2026 à partir d’un relevé passif de réseaux Wi-Fi par un chercheur à Paris.

Ce qu’on ne sait pas : Le relevé ne permet pas de compter les box vulnérables en France ni d’établir l’état de chaque variante ou l’arrivée d’un correctif pour chacune.

Le risque

Pour un foyer équipé d’une variante non corrigée, une personne à portée du Wi-Fi pourrait exploiter la faille sans connaître la clé.

La faille touche le logiciel qui traite les échanges WPS avant l’authentification. Changer seulement le mot de passe Wi-Fi ne la corrige donc pas. Le relevé indique que les exemplaires observés de Livebox 6 et de Bbox Wi-Fi 7 étaient corrigés ; il ne démontre pas que tout leur parc l’est.

Le contexte

• Le défaut logiciel en cause remonte à 2010 et n’a été corrigé que partiellement en 2018, selon Clubic, le 18 octobre 2026. Ces dates concernent le logiciel Broadcom, pas chaque modèle de box.
• Une autre faille WPS touchait déjà des déclinaisons de Livebox 3 et de box SFR NB4 et NB6, d’après Frandroid, mis à jour le 11 août 2017. Elle provenait d’un défaut de configuration du logiciel des box.
• La gamme Livebox 5 a été lancée commercialement le 10 octobre 2019 pour les abonnés fibre, selon 01net, le 9 octobre 2019.
• La SFR Box Plus est sortie en juillet 2016, d’après 01net, le 17 janvier 2017.

Quoi faire maintenant

Vérifiez dès maintenant le modèle de votre box, puis suivez les annonces de votre opérateur sur les correctifs.

1. Si vous n’utilisez pas le WPS, désactivez-le dans les réglages de la box, sans considérer ce geste comme une protection garantie contre cette faille.
2. Si votre installation le permet et que vous voulez supprimer ce point d’entrée radio en attendant un correctif, coupez le Wi-Fi de la box sur toutes ses bandes et reliez vos appareils par câble Ethernet.