Depuis 2010, Broadcom est au courant d’une faille critique dans son WiFi, permettant un piratage à distance sans mot de passe depuis 2018. Cependant, en octobre 2026, l’entreprise refuse toujours d’assigner un CVE, laissant des millions de routeurs sans correctif. Le chercheur belge Quentin Kaiser a révélé ce cas de gouvernance défaillante lors de la conférence Hexacon à Paris le 16 octobre 2026.
16 ans de silence : la gestion de Broadcom
La vulnérabilité date d’au moins 2010 dans le SDK Broadcom 802.11, affectant des millions d’équipements réseau. Elle concerne le traitement défectueux des messages WPS fragmentés, entraînant un débordement mémoire permettant l’exécution de code arbitraire. Selon Quentin Kaiser, cette attaque fonctionne à longue distance sans nécessiter le mot de passe WiFi.
En 2018, Broadcom a publié un correctif incomplet et recommandé discrètement une migration vers hostapd, sans communication publique. Les fabricants (Sagemcom, Technicolor, Netgear, Askey) et les opérateurs (Orange, SFR, Proximus, VOO) n’ont reçu aucune alerte formelle. En 2026, de nombreux appareils restent vulnérables.
Le refus de Broadcom face à la transparence
Broadcom refuse d’assigner un CVE depuis 2018, malgré la gravité de la faille. Sans CVE, la coordination entre fabricants, opérateurs et chercheurs en sécurité est entravée. Cela complique également le suivi par les bases de données de vulnérabilités. Pour les 1,5 million d’appareils potentiellement affectés en Belgique et des centaines de milliers en France, l’impact reste invisible dans les systèmes de surveillance de la cybersécurité.
Quentin Kaiser contre Broadcom : le défi de la divulgation responsable
Quentin Kaiser a respecté le protocole de divulgation responsable en notifiant Broadcom et les fabricants concernés en juillet 2026, avec une période de 90 jours avant sa présentation publique à Hexacon. Pendant ce temps, Broadcom est resté silencieux, sans créer de CVE. Les appareils testés par Kaiser restaient non corrigés la veille de la divulgation publique.
Kaiser critique sévèrement Broadcom, soulignant que la sécurité par la complexité est obsolète et que les outils IA rendent la recherche accessible à moindre coût. Malgré cela, Broadcom choisit l’opacité. Les vulnérabilités sont des cibles idéales pour les acteurs malveillants qui peuvent exploiter les box domestiques pour intercepter le trafic ou installer des logiciels malveillants.
Enjeux RSE : les responsabilités des fabricants
Les foyers français équipés de Livebox 5 ou de Box Plus SFR sont vulnérables, sans solution réaliste. Les opérateurs comme Proximus, Orange et SFR doivent gérer les incidents sans alerte formelle. Les gouvernements voient leur sécurité nationale menacée par des décisions prises chez Broadcom.
Le Cyber Resilience Act impose désormais des obligations de divulgation et de maintenance. Les fabricants doivent garantir des mises à jour de sécurité, communiquer publiquement sur les vulnérabilités et coordonner avec les autorités nationales. Broadcom devra s’adapter ou risquer de perdre l’accès au marché européen.
