Badacz bezpieczeństwa Quentin Kaiser 16 października 2026 przedstawił na konferencji Hexacon w Paryżu lukę w oprogramowaniu Wi-Fi firmy Broadcom, a tego samego dnia opublikował jej szczegółowy opis. Błąd tkwi w kodzie, który w zamkniętym stosie 802.11 Broadcomu składa pofragmentowane wiadomości EAP używane przez WPS (Wi-Fi Protected Setup). Napastnik w zasięgu sieci może go wywołać bez hasła do Wi-Fi i bez dokończenia parowania WPS. Może wtedy odczytać dane z pamięci routera i uruchomić na nim dowolny kod.

Których routerów to dotyczy

Według Kaisera wadliwy kod jest w pakiecie programistycznym Broadcomu co najmniej od 2010 roku. Broadcom odpisał mu, że wie o błędzie od 2018 roku, kiedy zastąpił starą implementację nową, opartą na hostapd. Kaiser nazywa tę zmianę niepełną poprawką wydaną po cichu. W modemach kablowych z systemem eCos (BCM3380, BCM3383, BCM33834) poprawki nie ma i jego zdaniem nigdy nie będzie. Na układach z Linuksem (BCM3390, BCM65xx, BCM68xx) wszystko zależy od tego, czy producent urządzenia przejdzie na wersję z hostapd.

Kaiser pokazał działający atak na routerach trzech z czterech dużych belgijskich operatorów: Proximusa (BBOX 3V+), VOO (Netgear CG3100 i CG3700, Technicolor TC7210, CGA4233) i Orange Belgium (Askey TCG3000). W jednym pokazie wstrzyknięty kod odczytuje z pamięci routera klucz do Wi-Fi i odsyła go drogą radiową. W drugim Kaiser otwiera zdalną powłokę przez ramki 802.11. Twierdzi, że atak działa także z dużej odległości. Do 15 października żadne z tych urządzeń nie dostało poprawki. Według jego szacunków, które sam uznaje za średnio pewne, w samej Belgii podatnych jest co najmniej 1,5 miliona routerów.

Lista urządzeń w jego repozytorium na GitHubie sięga daleko poza Belgię, a Kaiser podkreśla, że nie jest kompletna. Są na niej urządzenia Cisco, TP-Linka, Huaweia, Netgeara, Sagemcomu, Zyxela, ZTE i innych firm, które rozdają klientom m.in. KPN, Movistar, SFR i Türk Telekom. Światłowodowe terminale Nokii (G-140W-H, G-2426G-A i kilka modeli G-240W) mają status potwierdzonych, a wśród operatorów, którzy je stosują, wymieniono też Ineę. Pasywne skanowanie w Paryżu wykazało brak poprawki w Liveboksie 5 od Orange (Sagemcom Fast5656) i w routerach SFR NB6VAC. Livebox 6 i Bbox z Wi-Fi 7 od Bouygues, oba na nowszych układach, były już poprawione.

Bez numeru CVE

Kaiser zgłosił błąd Broadcomowi w lipcu. Firma odpowiedziała, że poprawka istnieje, a jeśli znajdzie podatne urządzenia, powinien poprosić ich producentów o kontakt z Broadcomem. Odmówiła nadania numeru CVE i pokazania komunikatu, który wysłała producentom. CERT/CC zamknął sprawę tego samego dnia, bo Broadcom sam nadaje numery CVE swoim produktom. Kaiser uważa, że brak numeru CVE to prawdopodobnie powód, dla którego tylu producentów nigdy nie wprowadziło poprawki.

Co możesz zrobić

Kaiser nie opublikował kodu ataku. Udostępnił za to skrypt, który rozpoznaje podatny punkt dostępowy po jego odpowiedziach (potrzebna jest karta Wi-Fi z trybem monitorowania), oraz reguły YARA do przeszukiwania obrazów oprogramowania. Jeśli router dostałeś od operatora, porównaj jego model z listą i zapytaj operatora, czy oprogramowanie jest już poprawione. Kaiser nie pisze, czy wyłączenie WPS w ustawieniach routera blokuje atak, więc nie traktuj tego jako zabezpieczenia. Serwis The JDNEER zwraca uwagę, że po wyłączeniu Wi-Fi w routerze operatora i podłączeniu osobnego punktu dostępowego znika droga ataku przez radio, o ile operator na to pozwala.

W inteligentnym domu skutki są bardzo konkretne: z kluczem wyciągniętym z routera napastnik trafia do tej samej sieci, w której działają kamery, gniazdka i serwer Home Assistanta.