Routeur TP-Link fourni par votre fournisseur d'accès : la mise à jour ne relève pas de votre responsabilité

Il y a dans votre couloir un boîtier que vous n’avez jamais acheté. Il appartient à votre fournisseur d’accès à Internet, vous payez quelques euros par mois pour son utilisation, et depuis le jour de son installation, vous ne l’avez probablement pas regardé une seule fois.

Le 10 août, TP-Link a publié une liste sur laquelle ce boîtier pourrait figurer.

L'avis, intitulé « Vulnérabilités multiples dans les produits réseau TP-Link gérés par les FAI », décrit cinq failles dans les appareils que les fournisseurs d'accès à Internet fournissent à leurs clients. Le tableau qu'il contient répertorie 65 modèles. L’un d’entre eux est le VX800v(DE), et ce modèle est coché dans les cinq colonnes.

Il s’agit précisément de l’appareil que M-net loue à ses clients particuliers à Munich, Augsbourg et dans l’Allgäu. Pour quatre euros par mois, un routeur tout-en-un pour l’ADSL et la fibre optique.

Ce que cette faille permet concrètement

La plus grave des cinq failles est répertoriée sous le numéro CVE-2025-30237, le numéro unique sous lequel les failles de sécurité sont répertoriées à l’échelle mondiale. TP-Link la décrit comme un contrôle d’accès défaillant dans l’interface Web du routeur. Certaines requêtes ne vérifient jamais si la personne qui les a envoyées est connectée.

Quiconque formule la requête appropriée peut accéder à des fonctions censées être réservées à l’administrateur. Aucun identifiant valide n’est nécessaire. Le mot de passe que vous avez défini lors de la configuration n’entre pas en ligne de compte, car à ce stade, personne ne vous le demande.

Et voici maintenant la limite, sans laquelle le reste de cet exposé relèverait de l’alarmisme. L’attaquant doit se trouver sur le même réseau. Il ne s’agit pas d’une attaque lancée via Internet contre toutes les connexions. Elle touche les personnes qui laissent des invités se connecter au réseau Wi-Fi principal, qui partagent un appartement ou vivent dans un immeuble doté d’un réseau commun, ou qui possèdent déjà un appareil infecté au sein de leur réseau. Aucun code d’exploitation public n’est connu à ce jour, et aucune attaque n’a été documentée.

Cela ne rend pas la faille inoffensive. Cela ne fait que déplacer la question. La question n’est pas de savoir si quelqu’un vous attaquera demain. Elle est de savoir qui comblera cette faille.

Ce n'est pas à vous de régler le problème

Avec un routeur acheté dans un magasin d'électronique, l'histoire s'arrêterait là. Téléchargez le micrologiciel, installez-le, c'est terminé.

Avec un appareil fourni par votre fournisseur d'accès, ce n'est pas le cas. TP-Link précise dans le même avis :

« Pour les appareils concernés fonctionnant avec un micrologiciel géré par le FAI, les mesures de correction seront coordonnées par les fournisseurs d'accès Internet concernés. »

Et quelques lignes plus loin :

« Les images de micrologiciel pour les variantes spécifiques aux FAI concernées pourraient ne pas être accessibles au public pour un téléchargement direct. »

En clair, il n’y a aucun fichier que vous puissiez télécharger. C’est le fournisseur d’accès qui décide du moment où la mise à jour sera disponible, et il en décide ainsi pour l’ensemble de ses clients en même temps. Vous ne vous en rendez compte qu’une fois que cela s’est produit. Ou vous ne vous en rendez jamais compte.

C’est là le véritable enjeu de cette affaire. Non pas la faille, mais la responsabilité. L’appareil se trouve chez vous, il est connecté à votre ligne, et tous les téléphones ainsi que tous les téléviseurs de votre foyer passent par lui. Or, la seule entité capable d’y apporter la moindre modification se trouve ailleurs.

Pour le VX800v, TP-Link indique que la version corrigée porte le numéro 800.0.16. Pour savoir si celle-ci est déjà installée sur votre appareil, consultez l'interface Web de votre routeur.

La question de savoir si cela vous concerne ne se pose même pas

Deux phrases figurant dans les notes de bas de page du tableau rendent la situation encore plus délicate.

« L'applicabilité détaillée au niveau des références (SKU) varie selon le déploiement de chaque FAI et n'est pas répertoriée publiquement. »

« L'applicabilité repose sur une analyse de modèles génériques, car les variantes spécifiques à chaque FAI peuvent différer. »

Ce que TP-Link répertorie ici, ce sont les versions grand public générales. Quelle version un fournisseur donné commercialise-t-il réellement, comment a-t-elle été adaptée et présente-t-elle les mêmes failles ? Aucune de ces informations n’est rendue publique. Et ce n’est pas par hasard, mais par politique déclarée.

Vous ne pouvez donc pas, depuis votre propre salon, répondre à la question la plus simple qui soit. Vous lisez le modèle sur l'autocollant, vous le trouvez dans la liste, et vous ne savez toujours pas si votre variante en fait partie. La seule entité qui puisse vous le dire est précisément celle qui détient la mise à jour.

Ce que vous pouvez tout de même faire

L’autocollant situé sous l’appareil vous indique le modèle. Si le nom commence par HB, HX, HC, EB, EC, EX, XC, XX ou VX, la liste mérite d’être consultée.

La version du micrologiciel se trouve dans l’interface Web du routeur, généralement sous « Outils système » ou « Informations sur l’appareil ». Si elle est antérieure à la version corrigée, demandez à votre fournisseur quand la mise à jour sera disponible. Cette question est votre seul levier d’action, et elle est d’autant plus efficace que vous êtes nombreux à la poser.

En attendant, deux mesures peuvent vous aider immédiatement. Désactivez l’accès à distance et la gestion à distance dans la mesure où l’interface vous le permet. Et configurez un réseau invité pour vos visiteurs. Laisser des invités se connecter au réseau Wi-Fi principal supprime précisément la condition qui rend cette attaque difficile.

Le fabricant a des antécédents

Le fait que ce soit TP-Link qui publie cette liste n’est pas un hasard. L’entreprise fait l’objet d’une surveillance étroite depuis des mois.

L’agence américaine de cybersécurité CISA répertorie plusieurs failles TP-Link dans son catalogue des vulnérabilités connues pour être exploitées, dont la plus ancienne remonte à 2015. En février 2026, le procureur général du Texas a poursuivi l’entreprise en justice, arguant que les routeurs avaient été présentés comme sécurisés alors que des failles connues du micrologiciel restaient ouvertes. En mars, l’autorité de régulation des télécommunications, la FCC, a interdit la vente de nouveaux routeurs fabriqués en dehors des États-Unis.

Il y a un autre élément à noter concernant cet appareil en particulier. Le VX800v n’apparaît pas pour la première fois dans un avis de sécurité en 2026. Le mois de février en avait déjà fait l’objet d’un autre, avec des numéros différents et un nombre de versions de micrologiciel différent. Ce modèle revient donc régulièrement sur le devant de la scène.

Vous pouvez interpréter cela de deux façons, et les deux tiennent la route. Un fabricant qui signale de nombreuses failles est soit exceptionnellement négligent, soit exceptionnellement transparent. Ce qui importe cette semaine, c’est la troisième observation. Même lorsqu’il signale les failles de manière claire et apporte des correctifs de manière rigoureuse, la correction ne vous parvient que si votre fournisseur vous la transmet.

Ce qu’il en reste

L'Allemagne bénéficie de la liberté de choix du routeur depuis 2016. Personne n'est obligé d'utiliser l'appareil fourni par le fournisseur d'accès ; chacun peut connecter le sien. Ceux qui l'ont fait ne sont pas concernés par cette affaire et reçoivent leurs mises à jour directement du fabricant.

Ceux qui ont conservé le boîtier loué, c'est-à-dire la plupart des gens, ont opté pour la facilité. Il est livré préconfiguré, fonctionne immédiatement, et en cas de panne, c’est quelqu’un d’autre qui en est responsable. Le prix à payer pour cela est indiqué dans cet avis. Ce même « quelqu’un d’autre » est également responsable lorsqu’une faille de sécurité est ouverte, et que vous ne savez ni si vous êtes concerné, ni quand elle sera corrigée.

Concrètement, cela signifie vérifier une fois par an quel appareil se trouve chez vous et quelle version de micrologiciel il utilise. Deux minutes, une fois par an. Et si la version est trop ancienne, renseignez-vous. Non pas parce que quelqu’un s’introduira demain sur votre réseau, mais parce que se renseigner est le seul moyen d’action que cet arrangement vous laisse.