16-летняя уязвимость в программном обеспечении Broadcom для Wi-Fi позволяет злоумышленникам перехватывать управление миллионами роутеров без знания пароля от сети. Исследователь безопасности Квентин Кайзер раскрыл проблему, получившую название WPSplinter. Она связана с двумя ошибками в реализации Wi-Fi Protected Setup (WPS) от Broadcom, датируемыми как минимум 2010 годом. Чипмейкер знал о проблеме с 2018 года и выпустил частичное исправление, но, по словам Кайзера, оно не устранило уязвимость полностью.
Суть уязвимости
Ошибки кроются в обработке Broadcom протокола WPS, который позволяет подключать устройства к беспроводной сети без ручного ввода пароля. Кайзер обнаружил: специально сформированные фрагментированные сообщения WPS могут вызывать повреждение памяти роутера, позволяя атакующему в зоне действия Wi-Fi выполнить свой код на устройстве. Для этого не требуется знать пароль Wi-Fi, а владельцу роутера не нужно совершать никаких действий. Проблема заключается в некорректном контроле границ выделенной памяти: данные выходят за пределы выделенного участка и затрагивают соседние области.Как выяснилось, если точка доступа Broadcom отправляет фрагментированный кадр нулевой длины, то для различения компонента wps_monitor от Broadcom и open-source hostapd используется разная реакция: hostapd отправляет ACK, а wps_monitor — NACK.
Масштаб и затронутые устройства
Кайзер продемонстрировал работающие эксплойты против роутеров, предоставляемых бельгийскими интернет-провайдерами Proximus и Orange. В одной из атак на шлюз ASKEY TCG3000 он выполнил код на устройстве, извлёк из памяти пароль Wi-Fi и отправил его по воздуху, после чего использовал украденные учётные данные для подключения к сети. Он также обнаружил уязвимость в роутерах Netgear и Technicolor, используемых провайдером VOO. По оценкам Кайзера, уязвимыми могут быть около 850 000 шлюзов Proximus, 500 000 у VOO и 210 000 у Orange Belgium — всего 1,56 миллиона роутеров только в Бельгии, хотя исследователь признаёт, что цифры приблизительны.Однако проблема не ограничивается Бельгией. Технология Wi-Fi от Broadcom используется десятками производителей в сотнях продуктов, поэтому число затронутых устройств в мире может быть значительно больше. Список уязвимых моделей включает:
- ARRIS SURFboard AC1200 (все версии);
- Arcadyan VRV9517 (до v6.00.18, используется KPN, SPARK);
- Askey TCG3000 (все версии, Orange Belgium, VOO);
- Askey RTF3505VW (до 203_n43, Movistar/Telefonica);
- CastleNET: NetMASTER Infinity 401MP, CBW-383ZN, CBW-383Z4, CBW-700V (все версии, Türksat Cablenet);
- Cisco: RV110W, RV130W, RV215W, RV340W, WAP121, WAP125, WAP150, WAP361, WAP371, WAP571, WAP571E, WAP581 (все версии);
- Comtrend VG8050 (все версии, как минимум до 2025 года, Movistar/O2/Telefonica);
- Huawei: B310, B315, B593, WS880 (все версии);
- NetComm: NF4V, NF10W, NF10WV, NF8AC, NF17ACV, NF18ACV, NF18MESH (все версии, австралийские провайдеры);
- Netgear: CG3100, CG3700B (все версии, Orange Belgium, VOO);
- Neuf: NB6, NB6VAC (статус TODO, SFR);
- Nokia: G-140W-H, G-240W-B, G-240W-A, G-240W-C, G-240W-F, G-240W-G, G-240W-J (многие провайдеры);
- Sagemcom: F@ST 3864/3864OP (Optus), F@ST 4353 (Belong), F@st 5336 (Proximus);
- Sercomm Group ONT L3 (253794565) V1 (статус LIKELY, Vodafone/Lowi);
- Tenda: D301/N300;
- TP-Link: Archer C3150, C5400, VR2800, VR600, VR900 (Türk Telekom), TD-VG5612 (MyNetFone, Barefoot, OntheNet), VR1600 (OntheNet, Future Broadband, Internode);
- ZTE: F680 v4 (многие провайдеры), 368N (KPN, Türk Telekom);
- Zyxel: VMG3312-B10A, VMG3312-B10B (Türk Telekom);
- MitraStar: GPT-2541GNAC (до ES_g8.4_100VNJ0b78, Movistar/Telefonica).
Реакция Broadcom и производителей
По словам Кайзера, Broadcom знала об уязвимости ещё в 2018 году и выпустила частичное исправление без публичного раскрытия проблемы. Компания рекомендовала производителям отказаться от её проприетарной реализации и перейти на open-source hostapd. Однако владельцы роутеров на старых чипах Broadcom на базе eCos, включая BCM3380, BCM3383 и BCM33834, находятся в особенно сложном положении. Кайзер назвал уязвимость «forever day» — эти устройства могут никогда не получить исправление. Роутеры на Linux-чипах BCM3390, BCM65xx и BCM68xx также не гарантированно защищены, если производители не перейдут на hostapd. Некоторые старые роутеры не имеют очевидного пути к исправлению, а другие зависят от обновления программного обеспечения, которое может быть уже не поддерживаться.Кайзер впервые сообщил об уязвимости Broadcom 18 июля 2026 года, затем повторно 27 июля, предоставив компании и затронутым вендорам 90 дней до публичного раскрытия. 28 июля Broadcom ответила, что патч доступен, и посоветовала обращаться напрямую к производителям. Однако на следующий день компания отказалась присваивать идентификатор CVE и предоставлять копию уведомления, которое, по её словам, было отправлено производителям через клиентский портал. Кайзер также связался с Proximus, пытался связаться с Orange Belgium и VOO, а также передал свои находки национальным органам кибербезопасности Бельгии. Он обратился в CERT/CC, но тот закрыл дело 4 августа, поскольку Broadcom сама является уполномоченной организацией по присвоению CVE и отказалась регистрировать уязвимость. По состоянию на 15 октября, за день до презентации Кайзера, ни одно из выявленных им устройств не получило патча.
Инструменты и практические демонстрации
Для обнаружения уязвимости Кайзер опубликовал два инструмента. Первый сканирует код прошивки и ищет признаки компонента Broadcom WPS Monitor, второй — проверяет работающий роутер по Wi-Fi. Исследователь отметил, что использование искусственного интеллекта ускорило работу: по его оценкам, обычное исследование заняло бы месяцы, но с помощью передовых моделей он завершил его менее чем за неделю.Кайзер не сообщает о признаках атак в реальном мире, но потенциал для злоупотреблений значителен. Злоумышленник, находящийся рядом с домом или офисом, может скомпрометировать уязвимый роутер, украсть учётные данные сети или использовать доступ для вмешательства в трафик.