100 000 routeurs Wi-Fi vendus avec une porte dérobée d’usine : comment savoir si le vôtre est concerné

Vous avez peut-être un petit routeur Wi-Fi 4G quelque part. Dans le camping-car, sur le bateau, dans la maison de campagne où la fibre n’arrivera jamais. Il vous a coûté quarante euros sur une place de marché, il fait son travail depuis deux ans, vous n’y pensez plus.

Les chercheurs de VulnCheck viennent d’y trouver trois portes dérobées différentes, sur une vingtaine de modèles fabriqués par le chinois Zbtlink et revendus sous une quinzaine de marques. Plus de 100 000 appareils seraient encore en service. Ce n’est pas un bug de programmation : c’est du code livré d’usine, qui tourne avec les droits administrateur et qui appelle un serveur distant toutes les 35 secondes. Voici comment savoir si votre routeur en fait partie, pourquoi changer son mot de passe ne servira à rien, et ce qu’il faut faire à la place.

Une porte dérobée, ce n’est pas une faille de sécurité

La distinction change tout, alors prenons trente secondes dessus.

Une faille, c’est une erreur. Un développeur a mal écrit une ligne, quelqu’un s’en aperçoit, l’éditeur publie un correctif, vous mettez à jour, l’histoire s’arrête là. C’est le quotidien de tout ce qui tourne sur vos machines.

Une porte dérobée (backdoor en anglais), c’est un programme mis là exprès. Personne ne s’est trompé. Le composant a été compilé, intégré au firmware (le logiciel interne de l’appareil), configuré pour démarrer tout seul et livré avec le produit. Sur un routeur, l’appareil par lequel transite absolument tout votre trafic, ça veut dire qu’un tiers a un accès permanent à votre réseau domestique.

Zbtlink, de son vrai nom Shenzhen Zhibotong Electronics, dément le terme de porte dérobée et parle d’un outil de maintenance à distance. Le fabricant ajoute que ce composant n’est conservé que sur des unités d’échantillon destinées au débogage et qu’il ne part pas en série. VulnCheck l’a pourtant retrouvé dans 21 images de firmware mises en ligne sur le site officiel du constructeur sur plus de deux ans. Et aucun mécanisme ne permet au client d’autoriser ou de refuser cet accès. Un outil de support qu’on ne peut ni voir, ni couper, ni déclencher, c’est un accès permanent avec un joli nom.

ENDLESSDOORS, le composant qui appelle chez lui toutes les 35 secondes

La première trouvaille est datée du 5 août 2026 et référencée CVE-2026-66747, avec un score de gravité de 9,3 sur 10. Autant dire le haut du tableau.

Le programme s’appuie sur rctl, un petit outil de contrôle à distance publié sur GitHub en 2015 et tombé dans l’oubli. Il démarre avec le routeur et se fait passer pour kworker, un nom de processus qui, sur Linux, désigne normalement une tâche interne du système. Quelqu’un qui jetterait un œil à la liste des processus passerait dessus sans s’arrêter.

Le plus astucieux, c’est qu’il n’ouvre aucun port en écoute. Il fait l’inverse : il sort. Toutes les 35 secondes, il contacte un serveur écrit en dur dans le code, en clair, sans chiffrement et sans la moindre authentification. Le port 7000 sert à recevoir des commandes, exécutées avec les droits root (l’administrateur absolu de la machine). Le port 7001 ouvre carrément une session interactive. N’importe quoi que le serveur envoie est exécuté, sans vérification d’aucune sorte.

Cette histoire de connexion sortante est la raison pour laquelle personne n’a rien vu pendant des années. Un pare-feu domestique surveille ce qui entre. Là, c’est le routeur lui-même qui part frapper à la porte, depuis l’intérieur.

Puis les chercheurs en ont trouvé deux autres

Trois semaines plus tard, fin août, la même équipe publiait deux implants supplémentaires sur le même matériel. Toujours aucun correctif entre les deux annonces.

DarkLantern (CVE-2026-74233) tourne sous le nom de service infosrvd et écoute sur le port UDP 9992. Celui-là attend les commandes de l’extérieur. Pour obtenir un accès root, il suffit de connaître un mot de passe inscrit en dur dans le code et de présenter une adresse matérielle à zéro. Aucun mot de passe utilisateur n’entre dans l’équation. Entre le 18 et le 21 août 2026, les chercheurs ont dénombré 203 appareils exposés directement sur internet dans 22 pays, et plus de la moitié d’entre eux se trouvaient aux États-Unis.

SpeakingStone (CVE-2026-74232) est le plus désagréable des trois. Sous le nom de service yunmgrd, il émet des signaux réguliers vers un serveur de commande via le port UDP 10000, avec un protocole maison et un chiffrement sommaire pour brouiller le trafic. Ses capacités, telles que documentées : détourner vos requêtes DNS (donc rediriger n’importe quel site que vous tapez vers un serveur de son choix), voler vos identifiants de connexion internet, ouvrir un tunnel SSH inversé et exécuter des commandes. VulnCheck le qualifie d’implant de surveillance, et le mot n’est pas exagéré.

Les deux sont notés 9,3 sur l’échelle CVSS 4.0, et 9,8 sur l’ancienne échelle 3.1. En redirigeant un serveur de commande vers leurs propres machines, les chercheurs ont vu 392 routeurs venir se signaler, dont 390 en Chine. Certains émettaient sans la moindre interruption depuis près de deux ans.

Êtes-vous concerné ? Probablement pas, et voici comment le vérifier

Soyons clairs tout de suite, parce que le chiffre de 100 000 appareils va inquiéter beaucoup de monde pour rien.

Si vous utilisez la box de votre opérateur, Freebox, Livebox, Bbox, box SFR ou l’équivalent chez un opérateur alternatif, vous n’êtes pas concerné. Ces boîtiers ont leur propre firmware, développé et mis à jour par l’opérateur. Ils n’ont rien à voir avec Zbtlink. C’est le cas de l’immense majorité des foyers français.

Le matériel visé est d’une autre nature. Ce sont des routeurs 4G et 5G à port SIM, des bornes extérieures et des kits Wi-Fi pour camping-car et bateau, achetés à l’unité sur Amazon, AliExpress ou une boutique en ligne, souvent entre 40 et 150 euros. Ils tournent sous OpenWrt, ils dépannent en zone blanche, et ils sont vendus sous un paquet de noms différents : Zbtlink, ZBT, ZBTWiFi, Wiflyer, MoreQuick, Deep Orange, Cioswi, CroSkylink, KuWFi, MOFI, Digineo, ALLNET, Wave WiFi, OneX et Lippert Components. Le même matériel, quinze étiquettes.

Pour trancher, retournez l’appareil et lisez la référence sur l’étiquette. Vous la retrouverez aussi dans l’interface d’administration du routeur, en général sur la page d’accueil. Les modèles nommément identifiés par les chercheurs sont les suivants :

• CPE2801, WE1026-5G-WD, WE1326, WE2007, WE2008-DSIM, WE2416, WE3326
• WE5927, WE5931, WE5931AC, WE826-T3-DSIM, WE826-T2, WE5926, WE2426-C, WE357, WE1541
• WG108, WG209, WG259, WG1602, WG1608-DSIM, WG2105, WG2107, WG3526, Z8102AX-2DSIM

La liste n’est pas forcément close. Les chercheurs ont testé ce qu’ils avaient sous la main, et Zbtlink fabrique pour des dizaines de revendeurs. Si votre boîtier vient de l’une des marques citées plus haut sans porter une de ces références, considérez qu’il mérite la même prudence.

Pourquoi changer le mot de passe administrateur ne sert à rien

C’est le réflexe numéro un dès qu’on parle de routeur piraté, et c’est un excellent réflexe en temps normal. Ici, il ne produit strictement aucun effet, pour une raison simple.

Votre mot de passe administrateur protège une porte : l’interface de configuration. Celle où vous changez le nom du Wi-Fi et ouvrez des ports. Les trois implants ne passent pas par cette porte. Ce sont des programmes indépendants, lancés au démarrage par le système, qui s’exécutent déjà avec les droits les plus élevés de la machine. Ils n’ont pas besoin de s’authentifier auprès de quoi que ce soit : ils sont déjà à l’intérieur, et ils y étaient avant vous.

Même chose pour la remise à zéro d’usine, que tout le monde tente en deuxième réflexe. Elle réinstalle le firmware d’origine. Le firmware d’origine contient les portes dérobées. Vous remettez le problème à neuf.

Quant à la mise à jour, elle supposerait que le fabricant publie un firmware corrigé. Zbtlink a suspendu ses téléchargements de firmware et annoncé travailler à une correction, tout en contestant le diagnostic. À l’heure où j’écris, aucun firmware corrigé n’est disponible. La recommandation de VulnCheck tient en une phrase que je reprends telle quelle : ce n’est pas un problème de correctif, c’est un problème de confiance.

Ce que je ferais, dans cet ordre

1. Identifiez le modèle sur l’étiquette ou dans l’interface d’administration, et comparez avec la liste ci-dessus. Si vous n’êtes pas dedans, l’affaire s’arrête ici.
2. Débranchez-le du réseau principal. Tant qu’il est en place, tout ce qui passe par lui passe potentiellement ailleurs. Si vous en avez besoin dans l’immédiat, réservez-le à des usages sans enjeu et n’y connectez rien de sensible.
3. Changez les mots de passe qui ont transité par ce routeur. Messagerie, banque, comptes marchands : c’est le moment d’appliquer les bons réflexes pour sécuriser vos comptes. SpeakingStone sait détourner les requêtes DNS et récupérer des identifiants de connexion : partez du principe que ce qui est passé par la machine a pu être lu.
4. Si vous devez le garder en attendant, isolez-le. Placez-le en mode pont derrière la box de votre opérateur, ou sur un réseau invité séparé du reste de la maison. Ça ne neutralise pas les implants, ça limite ce qu’ils voient.
5. Remplacez-le. C’est la seule sortie propre. Comptez le prix d’un routeur 4G d’une marque qui publie ses mises à jour, et considérez les quarante euros de départ comme perdus.

Si vous êtes à l’aise en ligne de commande et que votre routeur accepte une connexion SSH, vous pouvez vérifier vous-même. Un ps qui remonte un processus kworker sans crochets et avec de la mémoire allouée est déjà un signal. La présence des fichiers /usr/sbin/kworker, /usr/lib/librctl.so, /etc/kworker.cfg ou /etc/init.d/skworker tranche la question. Petit conseil : ne comptez pas là-dessus pour vous rassurer, l’absence de ces fichiers ne dit rien des deux autres implants.

Le routeur à 40 euros n’a jamais coûté 40 euros

Cette affaire est la troisième du genre en quelques mois, et le scénario se répète avec une régularité qui devrait nous alerter. Il y a eu les boîtiers Android TV bon marché qui travaillaient pour des réseaux criminels à l’insu de leur propriétaire. Il y a eu le pilote piégé hébergé sur le support d’un constructeur de mini-PC. Et maintenant ces routeurs.

Le point commun n’est pas le prix en lui-même. C’est l’absence de responsable identifiable. Quand quinze marques revendent le même boîtier fabriqué par une usine dont vous n’avez jamais entendu parler, personne ne signe le firmware, personne ne le maintient, et personne ne répond quand un chercheur tire la sonnette. Vous n’achetez pas un produit, vous achetez un objet anonyme qui se branche sur votre réseau.

En vrai, mon critère de choix a changé sur ce type de matériel. Je ne regarde plus les débits annoncés en premier. Je regarde s’il existe une page de support avec un historique de mises à jour daté, et un nom de société joignable. Si je ne trouve pas ça en deux minutes, je passe au modèle suivant, même s’il coûte le double.

Mon conseil, pour finir

Vérifiez la référence de vos routeurs d’appoint, ceux du camping-car, du bateau ou de la résidence secondaire, et comparez-la à la liste. La box de votre opérateur n’est pas concernée.

Si le modèle y figure, débranchez et changez vos mots de passe avant toute autre chose. Ne perdez pas de temps avec un nouveau mot de passe administrateur ou une remise à zéro : les deux laissent le problème intact.

Et si je ne devais garder qu’une phrase : sur un appareil qui voit passer 100 % de votre trafic, la question n’est pas de savoir s’il est corrigible, mais si vous faites confiance à celui qui a écrit son firmware. Ici, la réponse est non, et elle ne dépend pas d’une mise à jour à venir.