Błąd w oprogramowaniu Broadcom wykorzystywany w routerach i punktach dostępowych może umożliwić atakującemu znajdującemu się w zasięgu sieci bezprzewodowej wykonanie kodu z uprawnieniami root. Nie jest wymagane hasło do Wi-Fi ani wcześniejsze uwierzytelnienie. Problem może dotyczyć milionów urządzeń, a część starszych modeli prawdopodobnie nigdy nie otrzyma poprawki.

Autor: 8 min czytania

Atak przez Wi-Fi bez znajomości hasła

16 października 2026 roku badacz bezpieczeństwa Quentin Kaiser przedstawił szczegóły podatności w autorskiej implementacji mechanizmu Wi-Fi Protected Setup (WPS) firmy Broadcom. Problem, określany jako WPSplinter, dotyczy obsługi komunikatów konfiguracyjnych przesyłanych przez Wi-Fi. Według badacza błąd istnieje w kodzie od co najmniej 2010 roku, a próba jego naprawienia w 2018 roku okazała się skuteczna jedynie na części urządzeń.

Najpoważniejszym aspektem podatności jest możliwość przeprowadzenia ataku bez znajomości hasła do sieci bezprzewodowej. Napastnik nie musi również przechodzić standardowego procesu parowania WPS. Wystarczy, że znajduje się w zasięgu radiowym urządzenia i może wysyłać odpowiednio spreparowane komunikaty.

Podczas demonstracji badacz wykorzystał lukę na routerach udostępnianych przez belgijskich operatorów telekomunikacyjnych. W jednym przypadku uzyskał zapisane na urządzeniu hasło Wi-Fi, a w drugim uruchomił zdalną powłokę poleceń. Co istotne, komunikacja z powłoką mogła odbywać się bezpośrednio przez ramki Wi-Fi, bez konieczności użycia zewnętrznego serwera sterującego. Na moment publikacji nie przedstawiono dowodów potwierdzających wykorzystanie podatności w rzeczywistych atakach.

Błąd w obsłudze komunikatów WPS

Wi-Fi Protected Setup to mechanizm zaprojektowany w celu uproszczenia podłączania urządzeń do sieci bezprzewodowej. W zależności od implementacji umożliwia m.in. konfigurację po naciśnięciu przycisku na routerze lub z użyciem kodu PIN. WPSplinter to jednak nie kolejny atak polegający na odgadywaniu tego kodu. Źródłem problemu jest sposób, w jaki oprogramowanie Broadcom przetwarza fragmentowane komunikaty związane z konfiguracją WPS.

Odpowiednio przygotowana sekwencja wiadomości może doprowadzić do uszkodzenia pamięci urządzenia. Quentin Kaiser wykorzystał ten błąd do zbudowania dwóch elementów łańcucha exploita: mechanizmu odczytu danych z pamięci oraz możliwości wykonania własnego kodu. W praktyce otwiera to drogę do przejęcia kontroli nad routerem z uprawnieniami roota, czyli najwyższymi w systemie.

W demonstracji na bramie Askey TCG3000 używanej przez operatora Orange Belgium exploit umożliwił odczytanie klucza sieciowego przechowywanego w pamięci NVRAM. Następnie urządzenie przesłało hasło przez Wi-Fi, co pozwoliło badaczowi dołączyć do sieci. Na bramie Sagemcom BBOX3V+ udostępnianej przez Proximus uzyskano natomiast powłokę zdalną.

Przejęcie routera może mieć znacznie poważniejsze konsekwencje niż samo ujawnienie hasła. Zależnie od architektury urządzenia i dalszych możliwości atakującego może umożliwić manipulowanie ruchem sieciowym, obserwowanie komunikacji, zmianę konfiguracji lub wykorzystanie routera jako punktu wejścia do kolejnych systemów.

Które urządzenia są podatne?

Problem nie ogranicza się do jednego producenta routerów. Implementacja Broadcom była wykorzystywana w urządzeniach wielu dostawców, dlatego rzeczywisty zakres zagrożenia zależy od zastosowanego układu, wersji oprogramowania i zmian wprowadzonych przez producenta końcowego.

Odkrywca podatności wskazał dwie główne grupy układów:

  • Starsze platformy eCos: BCM3380, BCM3383 i BCM33834. Według badacza nie ma dla nich skutecznej poprawki, dlatego urządzenia oparte na tych układach mogą pozostać podatne na stałe.
  • Nowsze platformy Linux: BCM3390, BCM65xx i BCM68xx. W ich przypadku możliwe rozwiązanie ma polegać na zastąpieniu podatnej implementacji Broadcom oprogramowaniem alternatywnym, takim jak hostapd. Nie oznacza to jednak, że aktualizacja jest dostępna dla każdego urządzenia.

W Belgii podatność została zademonstrowana na bramach udostępnianych przez operatorów Proximus, Orange Belgium i VOO. W szerszych zestawieniach pojawiają się również urządzenia innych producentów, ale nie wszystkie wskazania oznaczają potwierdzoną podatność konkretnego modelu. Automatyczne skanowanie lub znalezienie fragmentu podatnego kodu w firmware nie zawsze wystarcza, by przesądzić, że atak jest możliwy w danej konfiguracji.

Nie należy więc traktować samej marki routera jako dowodu istnienia na nim podatności. Administratorzy powinni ustalić dokładny model, wersję firmware i zastosowaną platformę, a następnie potwierdzić status u producenta lub operatora.

Problem bez identyfikatora CVE i poprawki

Jednym z najbardziej niepokojących aspektów sprawy jest brak publicznego identyfikatora CVE. Według relacji Kaisera Broadcom znał problem od 2018 roku, a udostępniona wówczas zmiana nie rozwiązała go w pełni. Badacz twierdzi również, że producent zalecał przejście na hostapd zamiast polegania na częściowej poprawce.

Brak CVE utrudnia śledzenie podatności w typowych procesach zarządzania bezpieczeństwem. Organizacje często opierają inwentaryzację luk na identyfikatorach CVE, biuletynach producentów i narzędziach do zarządzania poprawkami. Jeżeli problem nie zostaje formalnie zarejestrowany, może nie pojawić się w standardowych raportach i pozostać poza rutynowym procesem aktualizacji.

Na dzień publikacji informacji o WPSplinter nie było potwierdzenia, że poprawki dotarły do testowanych urządzeń. W przypadku sprzętu operatorów użytkownik końcowy często nie ma możliwości samodzielnego zainstalowania oprogramowania alternatywnego, dlatego kluczową rolę odgrywają dostawca usługi i producent bramy.

Jak ograniczyć ryzyko?

Ponieważ atak odbywa się przez Wi-Fi, samo zablokowanie dostępu do panelu administracyjnego z Internetu nie rozwiązuje problemu. Najważniejsze jest ustalenie, czy wykorzystywane urządzenia zawierają podatną implementację, oraz uzyskanie od producenta lub operatora jasnej informacji o dostępnej poprawce.

Organizacje powinny zinwentaryzować routery i punkty dostępowe, sprawdzić modele oraz wersje firmware, a następnie zgłosić dostawcy urządzenia bez poprawki. W środowiskach, gdzie nie można wyeliminować ryzyka aktualizacją, należy rozważyć wymianę sprzętu. Dotyczy to szczególnie starszych platform, dla których badacz nie wskazał skutecznej ścieżki naprawy.

Pomocne są także ograniczanie fizycznego dostępu osób postronnych do zasięgu sieci, segmentacja infrastruktury, monitorowanie zmian konfiguracji urządzeń oraz obserwowanie nietypowego ruchu i oznak przejęcia routera. Są to jednak środki ograniczające skutki incydentu, a nie gwarantowana blokada samego exploita.

Quentin Kaiser opublikował również reguły YARA do wyszukiwania podatnego kodu w obrazach firmware oraz skrypt pomagający oceniać urządzenia na podstawie ich zachowania. Narzędzia te służą do wstępnej identyfikacji i wymagają dalszej weryfikacji – samo dopasowanie reguły nie przesądza o podatności urządzenia.

WPSplinter pokazuje, jak długo błąd w podstawowej warstwie infrastruktury może pozostawać obecny w urządzeniach użytkowników. Nawet jeśli luka została odkryta wiele lat temu, nie oznacza to, że ryzyko zniknęło – ostatecznie liczy się to, czy poprawiony kod trafił do routerów faktycznie pracujących w domach i firmach.