🎙️ Épisode spécial, en réponse au message d’un auditeur sur le répondeur de RadioCSIRT : l’usage d’équipements Huawei dans un réseau d’entreprise, entre constats d’audit et cadre réglementaire, sur les segments LAN, WLAN et WAN.

🔎 Le Huawei Cyber Security Evaluation Centre (HCSEC), financé par Huawei et dont les conclusions remontent au NCSC britannique, a relevé pendant plusieurs années des défauts graves et systémiques dans l’ingénierie logicielle et la cybersécurité du groupe. Son comité de supervision attribue ces défauts à des processus de mauvaise qualité, sans établir de lien avec une ingérence de l’État chinois. Il pointe une incapacité à garantir qu’une faille corrigée l’est dans toutes les versions déployées, et des composants tiers obsolètes, dont des vulnérabilités OpenSSL non corrigées remontant pour certaines à 2006. Aucun audit public britannique n’a établi de backdoor intentionnelle en plus d’une décennie, et le programme de 2 milliards de dollars annoncé par Huawei n’avait pas convaincu le comité, qui n’offre qu’une assurance limitée.

🐛 Le 23 juillet 2025, Post Luxembourg a subi une interruption nationale de plusieurs heures de ses services fixes, mobiles et d’urgence. Selon SDxCentral, une zero-day dans le logiciel de routeurs d’entreprise Huawei, déclenchée par un trafic réseau spécialement construit, provoquait des redémarrages en boucle : un déni de service sur l’équipement, la technique MITRE ATT&CK T1499. Huawei ne connaissait pas cette faille et n’a pas pu proposer de remédiation immédiate. La même source relève que les CVE du logiciel réseau d’entreprise de Huawei passent désormais par un portail client restreint plutôt que par une publication ouverte, ce qui réduit la visibilité des organisations sans contrat de support actif.

🛡️ Les switches de la série S, les routeurs AR et NE et les pare-feux USG font l’objet de CVE régulières, de type déni de service, élévation de privilèges ou divulgation d’information, d’une nature comparable à celles des autres équipementiers du marché.

🔐 Depuis 2019, Huawei ouvre à certains partenaires des centres de transparence à Bruxelles, Bonn et au Royaume-Uni, avec accès au code source et tests indépendants. Selon SecurityWeek, des observateurs doutent qu’un audit de code mené dans un cadre fermé et à capacité limitée suffise à établir un niveau de sécurité à l’échelle du groupe.

🏭 Depuis son inscription sur l’Entity List américaine en 2019 et le durcissement des restrictions sur les semi-conducteurs avancés, Huawei réoriente une partie de son approvisionnement vers des fondeurs chinois. L’effet de cette contrainte sur les pièces détachées et le support à long terme de la gamme entreprise n’est pas documenté publiquement de façon vérifiable.

⚖️ L’article 7 de la loi chinoise sur le renseignement national, en vigueur depuis juin 2017, oblige toute organisation et tout citoyen à soutenir les activités de renseignement et à garder le secret, et l’article 14 permet aux services d’exiger cette coopération. Une première lecture relève que cette obligation ne figure pas au chapitre des sanctions et existe dans d’autres lois chinoises ; une seconde, portée par des analyses juridiques occidentales, estime que l’absence d’État de droit et les structures du parti dans les entreprises permettent des directives extrajudiciaires jusqu’aux filiales à l’étranger. Les détracteurs du groupe citent aussi le passé d’ingénieur de l’APL de son fondateur. Huawei conteste toute instrumentalisation par l’État chinois et a attaqué en 2019 l’interdiction américaine, faute selon lui de preuve produite par le Congrès.

🇺🇸 L’usage d’équipements Huawei et ZTE est interdit dans les agences fédérales américaines et chez leurs sous-traitants depuis 2018. La Federal Communications Commission (FCC) a inscrit les deux constructeurs sur sa Covered List en mars 2022, ce qui ferme l’accès aux fonds de l’Universal Service Fund, puis a bloqué toute nouvelle autorisation de mise sur le marché en novembre 2022. Le 26 juin 2026, la FCC étend l’interdiction aux modèles autorisés avant 2022 et vise Huawei, ZTE, Hytera, Hikvision et Dahua.

🇬🇧 Depuis juillet 2020, les opérateurs britanniques ne peuvent plus acheter d’équipement 5G Huawei et doivent le retirer de leurs réseaux d’ici fin 2027, pour un coût estimé jusqu’à 2 milliards de livres sterling. Les réseaux 2G, 3G et 4G n’étaient pas visés au départ.

🇩🇪 En juillet 2024, les autorités allemandes et les opérateurs Deutsche Telekom, Vodafone et Telefónica Deutschland conviennent de retirer les composants Huawei et ZTE du cœur de réseau d’ici 2026, puis des réseaux de transport et d’accès d’ici 2029, pour un coût estimé à 2,5 milliards d’euros. Selon Huawei Central, Deutsche Telekom aurait reporté à 2027 une partie du déploiement Open RAN destiné à ce remplacement.

🇫🇷 La France n’a publié aucune interdiction formelle. L’ANSSI délivre pour les équipements 5G des licences de trois à huit ans : celles accordées au matériel Huawei portent majoritairement sur trois à cinq ans, contre huit ans pour Ericsson ou Nokia. Plusieurs sources, dont Reuters, rapportent que ces licences ne seraient pas renouvelées à leur expiration, ce qui aboutirait à un retrait de fait d’ici 2028. Le gouvernement a publiquement nié toute discrimination et affirmé ne pas vouloir interdire les investissements de Huawei dans la 5G.

🇪🇺 La boîte à outils 5G de 2020 recommandait, sans caractère contraignant, d’exclure les fournisseurs à haut risque ; 13 États membres sur 27 avaient pris des mesures concrètes début 2026. Le 20 janvier 2026, Henna Virkkunen, vice-présidente exécutive de la Commission européenne, a proposé une révision du Cybersecurity Act qui rend obligatoire sous 36 mois l’élimination de ces fournisseurs dans les infrastructures critiques, pour un coût estimé entre 17 et 21,5 milliards d’euros sur cinq ans. Le 4 mai 2026, la Commission étend le périmètre à l’ensemble des infrastructures de télécommunication et numériques, et la Chine menace de rétorsion ; la proposition doit encore être approuvée par le Parlement européen et le Conseil de l’UE. Huawei invoque le droit de l’UE et les engagements pris devant l’OMC, et réexaminerait son usine de Brumath, près de Strasbourg.

🌏 L’Australie et la Nouvelle-Zélande ont exclu Huawei de leurs déploiements 5G en 2018, et le Japon a restreint ses achats publics la même année. Le ministère belge de la Défense a ordonné le remplacement d’environ 300 points d’accès Wi-Fi Huawei de l’armée, alors qu’ils n’étaient pas connectés aux réseaux militaires, et les Pays-Bas retirent ces équipements de leur informatique gouvernementale. À Taïwan, l’institut public de recherche ITRI interdit aux terminaux Huawei de ses collaborateurs l’accès à son Wi-Fi interne.

📡 Les mesures recensées visent d’abord le WAN des opérateurs : cœur de réseau, RAN et transport ; pour un WAN d’entreprise opéré par un tiers, l’exposition dépend des choix de cet opérateur. Le LAN filaire reste le segment le moins ciblé par des interdictions formelles, mais les constats du HCSEC sur la cohérence des correctifs couvrent tout le catalogue de commutation. Le WLAN compte au moins un retrait institutionnel, celui de l’armée belge, et ses consoles de gestion centralisées ou hébergées dans le cloud, communes à tous les équipementiers, concentrent des données de configuration et de télémétrie qui soulèvent les mêmes questions d’accès juridictionnel.

📈 Huawei reste l’un des plus grands fournisseurs mondiaux d’équipement réseau, avec un rapport prix/performance compétitif avancé pour expliquer son adoption dans les marchés sans restriction. Les alternatives les plus citées sont Ericsson et Nokia pour les télécoms, et Samsung pour certains équipements 5G.

Sources :

• Huawei banned from UK’s 5G market. Light Reading : https://www.lightreading.com/services/huawei-banned-from-uk-s-5g-market
• Germany finally gets round to banning Huawei, sort of. Telecoms.com : https://www.telecoms.com/telecoms-infrastructure/germany-finally-gets-round-to-banning-huawei-sort-of
• Deutsche Telekom delays Open RAN till 2027 for Huawei 5G: Report. Huawei Central : https://www.huaweicentral.com/deutsche-telekom-delays-open-ran-till-2027-for-huawei-5g-report/
• L’UE durcit encore ses règles concernant les équipementiers chinois. Mobile World Live : https://www.mobileworldlive.com/french/lue-durcit-encore-ses-regles-concernant-les-equipementiers-chinois/
• EU Advises Member States Against Using Huawei and ZTE Networking Equipment, China Warns of Retaliation. MobileMasr : https://mobilemasr.com/en/blogs/advises-member-states-against-using-huawei-and-zte-networking-equipment
• EU moves to force the phase-out of Chinese suppliers from key infrastructure, FT reports. MarketScreener (Reuters) : https://uk.marketscreener.com/news/eu-moves-to-force-the-phase-out-of-chinese-suppliers-from-key-infrastructure-ft-reports-ce7e58dfda8ff621
• France planning to halt renewal of Huawei’s licence for operators by 2028: Reports. WION : https://www.wionews.com/technology/france-planning-to-halt-renewal-of-huaweis-licence-for-operators-by-2028-reports-315456
• France Also Phases Out Huawei 5G Equipment Gradually. The Asia Business Daily : https://www.asiae.co.kr/en/article/2020072313143129912
• The US President bans the use of some Huawei and ZTE products within the government. PhoneArena : https://www.phonearena.com/news/The-US-President-bans-the-use-of-some-Huawei-and-ZTE-products-within-the-government_id107752
• Huawei is suing the US government over the ban on its products. MIT Technology Review : https://www.technologyreview.com/2019/03/07/136749/huawei-is-suing-the-us-government-over-the-ban-on-its-products/
• Import Authorizations Banned for Telecom Equipment Deemed Risky to National Security. Sandler, Travis & Rosenberg : https://www.strtrade.com/trade-news-resources/str-trade-report/trade-report/november/import-authorizations-banned-for-telecom-equipment-deemed-risky-to-national-security
• FCC Expands Ban on Chinese Telecom and Surveillance Equipment Over Cybersecurity Risks. VPN Central : https://vpncentral.com/fcc-expands-ban-on-chinese-telecom-and-surveillance-equipment-over-cybersecurity-risks/
• Belgian military forced to replace Huawei WiFi hotspots. Techzine Global : https://www.techzine.eu/news/security/80317/belgian-military-forced-to-replace-huawei-wifi-hotspots/
• Japan joins US in banning HUAWEI equipment from government purchasing. Android Authority : https://www.androidauthority.com/huawei-japan-ban-932692/
• 工研院憂資安 禁華為手機使用內網. PTS News Network : https://news.pts.org.tw/article/419638
• UK security chiefs expose Huawei vulnerabilities. Mobile World Live : https://www.mobileworldlive.com/huawei/uk-security-chiefs-expose-huawei-vulnerabilities/
• UK Government Issues Report on Huawei Vulnerabilities. Skadden : https://www.skadden.com/insights/publications/2019/04/uk-government-issues-report-on-huawei
• Huawei savaged by Brit code review board over pisspoor dev practices. The Register : https://www.theregister.com/2019/03/28/hcsec_huawei_oversight_board_savaging_annual_report/
• Huawei’s $2bn software programme not enough to ensure security, says UK. Capacity Media : https://www.capacitymedia.com/articles/3823379/huaweis-2bn-software-programme-not-enough-to-ensure-security-says-uk
• National Intelligence Law of the People’s Republic of China. Wikipedia : https://en.wikipedia.org/wiki/National_Intelligence_Law_of_the_People%27s_Republic_of_China
• What the National Intelligence Law says, and why it doesn’t matter. China Law Translate : https://www.chinalawtranslate.com/en/what-the-national-intelligence-law-says-and-why-it-doesnt-matter/
• Huawei and the ambiguity of China’s intelligence and counter-espionage laws. The Strategist, ASPI : https://www.aspistrategist.org.au/huawei-and-the-ambiguity-of-chinas-intelligence-and-counter-espionage-laws/
• Mystery Huawei flaw behind blanket Luxembourg outage. SDxCentral : https://www.sdxcentral.com/news/mystery-huawei-flaw-behind-blanket-luxembourg-outage/
• Huawei Opens Cybersecurity Center in Brussels Allowing Access to Source Code. Caixin Global : https://www.caixinglobal.com/2019-03-06/huawei-opens-cybersecurity-center-in-brussels-allowing-access-to-source-code-101388313.html
• Huawei Opens Brussels Security Lab in Bid to Reassure EU. SecurityWeek : https://www.securityweek.com/huawei-opens-brussels-security-lab-bid-reassure-eu/

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Huawei #ZTE #5G #Géopolitique #SupplyChain #CybersecurityAct #HCSEC #FCC #ANSSI #RadioCSIRT