Milióny Wi-Fi routerov môžu mať chybu starú približne 16 rokov. Útočník sa k nim dostane aj bez hesla k Wi-Fi

Quentin Kaiser sa na zraniteľný router dokázal dostať bez hesla k Wi-Fi a bez toho, aby sa do siete najprv normálne pripojil. Potreboval iba zachytiť jeho bezdrôtový signál. Na jednom testovanom zariadení potom získal Wi-Fi kľúč, na ďalšom už dokázal spúšťať vlastné príkazy.

Za útokom stojí chyba, ktorú Kaiser pomenoval WPSplinter. Týka sa staršej implementácie WPS v softvéri Broadcomu a jej korene našiel v Broadcom SDK minimálne z roku 2010. Podrobnosti zverejnil 16. októbra na konferencii Hexacon 2026 v Paríži.

Nešlo pritom len o laboratórny test na vlastnom hardvéri. Kaiser útok rozbehol aj na routeroch používaných zákazníkmi belgických operátorov Proximus, VOO a Orange Belgium. Chybný kód tak prežil v reálne nasadených zariadeniach približne 16 rokov.

Útok funguje ešte pred prihlásením do Wi-Fi siete

Útok sa odohráva priamo cez Wi-Fi, takže útočník musí byť fyzicky dosť blízko na to, aby zachytil signál routera. V dome to môže znamenať ulicu alebo priestor pred pozemkom, v bytovke susedný byt či chodbu.

Kaiser pri demonštrácii používal anténu položenú tesne pri zariadení, podľa neho však exploit nie je viazaný na takúto krátku vzdialenosť. Rozhoduje dosah bezdrôtovej siete.

Súvisí s tým

Nový Android malvér Hirudo ti vymení bankovú aplikáciu za falošnú. Ukradne heslo, PIN a otvorí útočníkom cestu k tvojmu účtu

Do siete sa pritom nemusel najprv prihlásiť. WPSplinter zasahuje Broadcom WPS Monitor už pri spracovaní správ používaných počas WPS komunikácie, teda ešte pred dokončením bežného párovania zariadenia s routerom.

Broadcom WPS Monitor zle kontroluje veľkosť skladaných dát

WPSplinter zneužíva spracovanie fragmentovaných EAP-WPS správ. Broadcom WPS Monitor podľa Kaiserovho technického rozboru pri ich skladaní neustráži, koľko dát zapisuje do pripraveného bufferu. Špeciálne vytvorená správa tak môže prepísať časť pamäte routera.

Kaiser túto chybu využil najprv na čítanie dát z pamäte a následne aj na spustenie vlastného kódu. Exploit pritom zasahuje WPS Monitor ešte počas spracovania komunikácie s routerom, skôr než dôjde k bežnému prihláseniu do Wi-Fi siete.

ASKEY prezradil Wi-Fi kľúč, BBOX 3V+ dovolil spúšťať príkazy

Na ASKEY TCG3000 od Orange Belgium si Kaiser z NVRAM vytiahol Wi-Fi PSK, poslal ho cez 802.11 späť k svojmu zariadeniu a s ukradnutým kľúčom sa pripojil do siete.

Na BBOX 3V+ od Sagemcomu používanom Proximusom už získal reverse shell. Ten komunikoval priamo cez 802.11 rámce, takže nepotreboval žiadny externý server na internete. Router tak mohol ovládať priamo cez bezdrôtové spojenie.

Podobne prevzaté routery sa pri iných útokoch často menia na súčasť botnetov alebo infraštruktúry, cez ktorú útočníci skrývajú ďalšiu komunikáciu.

Broadcom vydal opravu v roku 2018, Kaiser ju označuje za neúplnú

Kaiser vystopoval chybný kód až do Broadcom SDK z roku 2010. Broadcom pripravil opravu v roku 2018, podľa Kaisera však nebola úplná. Neskôr firma odporúčala opustiť vlastný WPS Monitor a prejsť na hostapd.

Staršie routery tým nevymizli zo siete. Ich výrobcovia a operátori používali vlastné vetvy firmvéru a práve od nich záviselo, či sa novšia implementácia dostane aj do zariadení, ktoré už mali zákazníci doma.

WPSplinter Kaiser našiel na platformách BCM3380, BCM3383, BCM33834, BCM3390, BCM63xx, BCM65xx a BCM68xx. Časť zariadení bežala na eCos, ďalšie na Linuxe.

V zverejnenom zozname sa objavujú modely značiek Sagemcom, Netgear, Nokia, Cisco, Huawei, Askey, Technicolor či Comtrend. Pri konkrétnom routeri však stále rozhoduje použitý firmvér a verzia WPS Monitor, nie iba označenie Broadcom čipu.

WPSplinter našiel na routeroch viacerých značiek a Broadcom platforiem

Kaiser netestoval iba jeden konkrétny router. WPSplinter našiel na zariadeniach od viacerých výrobcov vrátane Sagemcomu, Netgearu, Technicoloru či Askey a na niekoľkých Broadcom platformách.

Na časti z nich exploit spustil aj v praxi. Medzi overené zariadenia patril napríklad BBOX 3V+ od Sagemcomu a ASKEY TCG3000, na ktorých dokázal získať prístup k pamäti a spúšťať vlastný kód.

K 15. októbru 2026 zariadenia, na ktorých útok demonštroval, stále nemali potrebnú opravu. Kaiser pritom vo svojom zozname eviduje desiatky výrobcov a stovky produktov postavených na dotknutých Broadcom platformách.

Presný počet zraniteľných kusov nepoznáme. Rozsah však môže byť podstatne väčší než niekoľko testovaných modelov, pretože rovnaké Broadcom riešenia sa roky používali v routeroch a prístupových bodoch rôznych značiek.

Staré eCos platformy Kaiser označuje za „forever-day“

Platformy BCM3380, BCM3383 a BCM33834 postavené na eCos Kaiser označuje ako „forever-day“. Pri týchto zariadeniach už nemusí existovať praktická cesta k prechodu na novšiu implementáciu WPS.

Pri linuxových platformách Broadcom podľa Kaisera opravu má. Výrobca ju však musí zapracovať do firmvéru konkrétneho modelu, čo je problém najmä pri starších routeroch po skončení podpory, pre ktoré už nové verzie firmvéru nevychádzajú.

WPSplinter nemá vlastné CVE. Kaiser uvádza, že Broadcom jeho pridelenie odmietol, pretože dotknutý softvér považuje za zastaraný a mimo podpory. Ak konkrétny model nový firmvér nedostane, zraniteľný WPS Monitor v ňom zostane.

Bez opraveného firmvéru zostáva WPSplinter v zariadení

Pri operátorskom routeri musí opravu dostať do firmvéru operátor alebo výrobca zariadenia. Pri vlastnom modeli závisí od toho, či preň výrobca ešte vydáva aktualizácie. V administrácii routera sa dajú meniť aj bezpečnostné funkcie vrátane WPS, jeho vypnutie však Kaiser neuvádza ako potvrdenú opravu WPSplinter.

Chybný Broadcom WPS Monitor odstráni až upravený firmvér alebo prechod na inú implementáciu. Pri modeloch po skončení podpory môže zraniteľný kód zostať v zariadení natrvalo.