La FCC et quatre États américains poursuivent TP-Link alors que cinq failles Aginet restent à corriger
Le 6 octobre 2026, la Floride, l’Iowa, le Montana et le Nebraska poursuivent TP-Link pour tromperie sur la sécurité de ses routeurs, tandis que la FCC lui refuse toujours l’exemption à l’interdiction des routeurs fabriqués hors des États-Unis. En parallèle, SEC Consult détaille cinq failles dans la gamme Aginet — CVE-2025-30237 à CVE-2025-30241 — dont certains modèles ne recevront plus de correctif : recensez votre matériel TP-Link avant de compter sur son canal de mise à jour.
6 octobre 2026. La Floride, l’Iowa, le Montana et le Nebraska poursuivent TP-Link pour pratiques commerciales trompeuses sur la sécurité de ses routeurs. 8 octobre 2026. SEC Consult publie les détails techniques de cinq failles dans la gamme Aginet, de CVE-2025-30237 à CVE-2025-30241. Mars 2026. La FCC interdit la vente de nouveaux routeurs grand public fabriqués hors des États-Unis, et TP-Link n’a toujours pas obtenu d’exemption. Pourquoi c’est important : la pression juridique et la réalité technique convergent vers la même conclusion — sur une partie du parc TP-Link, le canal de correctifs est soit absent, soit aux mains de votre fournisseur d’accès.
La double tenaille : le juridique et le technique
TP-Link subit deux pressions parallèles qui, prises ensemble, changent le calcul de quiconque gère un parc de routeurs ou de bornes de cet équipementier.
La première est réglementaire. Le 6 octobre 2026, quatre procureurs généraux républicains ont déposé des plaintes quasi identiques, fondées sur les lois de protection des consommateurs de leurs États. Leur grief central : TP-Link a présenté ses produits comme sûrs — son service HomeShield « couvre tous les scénarios de sécurité » et promettait encore, en novembre 2025, une « protection à 100 % » — alors que des routeurs TP-Link ont été exploités dans les campagnes Volt Typhoon et Flax Typhoon, dans des botnets de password spraying, et par le renseignement militaire russe, le GRU.
La plainte de Floride ajoute une accusation de fond : la séparation revendiquée avec la Chine serait « une fiction ». Elle s’appuie sur un article de Bloomberg d’avril 2025 selon lequel 0,5 % seulement de la valeur des composants de l’usine vietnamienne de TP-Link est acheté au Vietnam — tout le reste est importé de Chine. TP-Link rejette ces allégations et qualifie les plaintes de « bâties sur de fausses prémisses ».
La seconde pression est technique, et c’est elle qui doit retenir votre attention. Le 8 octobre 2026, le laboratoire SEC Consult a publié les détails de cinq vulnérabilités dans la gamme Aginet, les équipements que TP-Link vend aux fournisseurs d’accès à Internet pour équiper leurs abonnés — routeurs, mesh, modems et fibre.
Cinq failles, un accès non authentifié
Les cinq failles, de CVE-2025-30237 à CVE-2025-30241, touchent 65 modèles de la gamme Aginet. La plus grave suffit à elle seule :
- CVE-2025-30237 — un contournement d’authentification dans l’interface web. Un attaquant sur le même réseau peut, sans aucun identifiant, créer un compte super-administrateur et activer l’accès SSH.
- CVE-2025-30238 — un utilisateur à faibles privilèges peut déclencher des actions réservées à l’administrateur.
- CVE-2025-30239 — des clés de chiffrement codées en dur, liées au modèle, protègent les fichiers de configuration. Qui récupère une sauvegarde peut en extraire les mots de passe Wi-Fi et, selon la configuration, les identifiants de gestion à distance de l’opérateur.
- CVE-2025-30240 — un accès physique : une clé USB préparée permet de lire tout le système de fichiers.
- CVE-2025-30241 — une injection de commandes dans l’interface web, permettant d’exécuter des commandes en root.
La chronologie de la correction est le vrai signal d’alerte. SEC Consult a commencé à signaler ces failles à TP-Link en décembre 2024. L’éditeur a affirmé en janvier 2025 que les premiers problèmes étaient corrigés, mais l’identification exhaustive des modèles affectés n’a abouti qu’en juillet 2025, et le déploiement des correctifs s’est étiré jusque dans le courant de 2026.
Le canal de correctifs qui n’est pas le vôtre
Sur la gamme Aginet, le correctif ne passe pas par l’utilisateur : TP-Link indique que les mises à jour de firmware sont distribuées par les fournisseurs d’accès. Autrement dit, l’utilisateur final ne peut pas appliquer le patch lui-même — il dépend de la volonté et du calendrier de son FAI. Si l’opérateur ne pousse pas la mise à jour, la box reste vulnérable, et l’abonné n’a aucun levier direct.
Les plaintes des États enfoncent le clou sur un point connexe : plusieurs modèles exploités ne supportent pas la mise à jour automatique et ne reçoivent plus de mises à jour de sécurité. C’est la combinaison la plus dangereuse qui soit — un équipement exposé, documenté vulnérable, et dont le cycle de vie est terminé sans que son propriétaire en soit clairement informé.
Ce constat dépasse la gamme Aginet. Les parcs Omada de TP-Link ont déjà connu une alerte majeure cet été — 15 failles de zero-touch provisioning présentées à Black Hat, que nous avions documentées dans notre analyse des failles Omada ZTP. La récurrence dessine un motif : un équipementier au catalogue immense, dont une partie du parc dépend de canaux de mise à jour qui ne sont pas maîtrisés par celui qui le fait tourner.
Le contexte américain, et pourquoi il vous regarde
L’interdiction de la FCC et les poursuites sont un dossier américain — mais les leçons valent des deux côtés de l’Atlantique. D’abord parce que TP-Link équipe massivement les foyers et les PME en Europe comme en France. Ensuite parce que la question de fond est universelle : qui contrôle la mise à jour de votre équipement réseau ?
L’interdiction, décidée en mars 2026, vise les routeurs grand public fabriqués en tout ou partie hors des États-Unis. Des exemptions ont été accordées à Netgear, Asus, Adtran, Amazon et sa filiale Eero, Calix, Nokia ou encore Starlink. TP-Link, elle, attend toujours. Conséquence concrète : l’équipementier ne peut pas vendre ses nouveaux routeurs Wi-Fi 8 aux États-Unis, alors même qu’il communique sur sa « gamme Wi-Fi 8 de prochaine génération ».
TP-Link affirme investir « des centaines de millions de dollars » pour rapatrier la fabrication et la R&D aux États-Unis, et emploierait déjà plus de 550 personnes sur place. Le processus d’exemption exige, lui, une détermination du Pentagone ou du DHS selon laquelle les équipements ne présentent pas de risque pour la sécurité nationale. Rien n’indique qu’elle aboutira à court terme.
Ce qu’il faut faire avec votre parc TP-Link
La réponse ne se résume pas à « jeter tout le matériel TP-Link ». Elle se décline en trois gestes, par ordre de priorité :
- Recenser les modèles. Croisez votre inventaire avec les 65 modèles listés dans l’avis TP-Link. Les routeurs, mesh, modems et équipements fibre de la gamme Aginet sont concernés au premier chef.
- Identifier le canal de mise à jour. Si le firmware est poussé par votre FAI, la mise à jour ne dépend pas de vous : vérifiez la version installée et relancez votre opérateur si elle n’est pas corrigée. Si l’équipement est en fin de vie, aucun correctif ne viendra — planifiez son remplacement.
- Segmenter en attendant. Un équipement vulnérable mais isolé derrière un VLAN dédié, sans accès au réseau de gestion, est un risque contenu. Un équipement vulnérable exposé en frontal est une porte ouverte.
La vérification tient en quelques commandes si vous gérez l’équipement vous-même :
# Vérifier la version du firmware depuis l'interface d'un équipement TP-Link
curl -s http://ROUTEUR_IP/ --max-time 5 | grep -iE "firmware|version" | head -5Ne traitez pas cette affaire comme une simple querelle américaine. Elle révèle une faille structurelle que vous avez probablement déjà dans votre réseau : des équipements réseau dont le cycle de correctifs vous échappe, qu’il s’agisse d’une box FAI, d’un mesh acheté en ligne ou d’un routeur oublié au fond d’un placard technique.
Verdict
Si vous gérez un parc TP-Link Omada, vérifiez dès aujourd’hui que les correctifs Black Hat d’août sont appliqués — c’est un prérequis, pas une option. Si vous détenez des équipements de la gamme Aginet, ne comptez pas sur l’éditeur : la mise à jour passe par votre FAI, alors contrôlez la version installée et, en cas d’absence de correctif, segmentez ou remplacez. Si vous avez du matériel TP-Link en fin de vie, aucun patch ne viendra le sauver — sortez-le du réseau ou remplacez-le. La leçon qui reste quand le bruit juridique retombe est simple : un équipement réseau dont vous ne maîtrisez pas la chaîne de mise à jour n’est pas un actif, c’est une dette de sécurité à échéance inconnue.
Références
- Ars Technica — TP-Link problems in US grow amid FCC router ban and four state lawsuits
- SecurityWeek — TP-Link Faces State Lawsuits and New Scrutiny Over ISP Router Flaws
- SEC Consult — Multiple critical vulnerabilities in multiple TP-Link device series (SA-20261008-0)
- TP-Link — Security Advisory: Multiple Vulnerabilities in ISP-Managed TP-Link Networking Products
- NVD — CVE-2025-30237