Broadcom 開發套件漏洞可讓攻擊者在 Wi-Fi 範圍內無密碼控制路由器，程式碼至少自 2010 年存在
Falla Broadcom en routers: control sin contraseña desde 2010
Broadcom 提供給路由器製造商的開發套件內有 WPS 漏洞，Wi-Fi 訊號範圍內的攻擊者無需網絡密碼即可讀取設備資料或在路由器執行程式碼。研究員 Quentin Kaiser 在比利時 Proximus、VOO 及 Orange Bélgica 的設備上驗證問題，估算相關設備逾 150 萬台；截至 2026 年 10 月 15 日，這些設備尚未收到修補。
文章交代漏洞在不同平台上的修補差異，並以比利時逾 150 萬台設備的估算呈現影響範圍；關閉 WPS 未必能移除易受攻擊程式碼。
Broadcom 路由器漏洞可讓人在街上無須密碼控制設備，只要身處 Wi-Fi 訊號覆蓋範圍內即可。攻擊者毋須網絡密碼，亦不用完成設備慣常的註冊流程，受害者更完全不用作任何操作。
研究員 Quentin Kaiser 於10月16日在巴黎的 Hexacon 發表這宗個案，並於同日公開較完整的研究報告。漏洞存在於 Broadcom 提供予製造商的軟件開發套件，至少自2010年起便已存在。16年後，部分受影響設備仍安裝在住宅和商戶內。
Broadcom 在2018年留下未完成修正的2010年 WPS 程式碼
弱點位於 WPS，即 Wi-Fi 保護設定系統；這個系統可讓新設備連接網絡，而不用輸入完整密碼。在這個系統中，負責重新組合已分段 EAP 訊息的程式碼（EAP 是該註冊流程所用的驗證協定），會因惡意構造的訊息而造成記憶體溢位。這種記憶體損毀讓攻擊者有兩種可乘之機：讀取設備內儲存的資料，以及在路由器內執行自訂程式碼。
Broadcom 於2018年低調發布了不完整的修正方案，並建議客戶改用另一款無線網絡管理程式 hostapd。Kaiser 對採用 eCos 的平台——BCM3380、BCM3383 和 BCM33834——有一句嚴厲評語：這些平台上的漏洞將永久存在，沒有預定的修正方案。至於採用 Linux 的平台——BCM3390、BCM65xx 和 BCM68xx——能否解決問題，則取決於各製造商是否願意進行這項遷移。
Broadcom 路由器漏洞還有另一個問題：Broadcom 拒絕分配 CVE 編號。CVE 是用來在資料庫和公告中追蹤漏洞的公開識別碼。Kaiser 於2026年7月18日和27日通報漏洞。公司回覆稱已有修補程式，製造商應與公司聯絡。CERT/CC 於8月4日立案，並在同日確認 Broadcom 可以登記 CVE、但無意這樣做後結案。
比利時實測：密碼遭竊，終端機透過無線訊號開啟
Kaiser 不只停留在理論層面。在 Orange 比利時使用的 ASKEY TCG3000 路由器上，攻擊從設備記憶體中提取已儲存的 Wi-Fi 密碼，並透過無線訊號傳送給攻擊者；研究員利用該密碼登入網絡。在 Proximus 使用、由 Sagemcom 製造的 BBOX3V+ 上，同一漏洞只透過 Wi-Fi 訊框便能開啟遠端終端機，毋須外部伺服器配合。
在比利時測得的影響範圍，足以反映問題的規模。Kaiser 在該國四大電訊商中的三家——Proximus、VOO 和 Orange 比利時——的設備上證明瞭漏洞。他根據比利時監管機構 IBPT 的資料及電訊商公開數字估算，Proximus 有850,000部設備、VOO 的舊款設備有500,000部、Orange 比利時有210,000部；在一個小國，受影響設備總數已超過150萬部。至於第四家電訊商 Telenet，由於未能取得設備進行測試，他無法確認漏洞是否存在。
截至2026年10月15日，這些設備均未收到修補程式。Kaiser 在公開發言前遵守了90日的漏洞披露期限，但修正方案仍未送達已安裝的設備。研究員承認，對估算結果只有中等信心，並希望電訊商公佈確切數字。
Movistar 和其他品牌的設備亦列於公開名單
問題不只發生在比利時。Kaiser 將這個案例命名為 WPSplinter，並在公開頁面列出數十個品牌的型號，同時提醒名單並不完整。當中包括與 Movistar 和 Telefónica 有關、在西裔家庭中十分常見的裝置：Askey RTF3505VW、Comtrend VG8050 和 MitraStar GPT-2541GNAC。名單還包括 Cisco、TP-Link、ZTE、Nokia、Netgear 和 Zyxel 的裝置。某個型號出現在名單上，並不代表每部同型號裝置都有漏洞：關鍵在於韌體版本。
對於使用電訊商提供的路由器的用戶，實際的警告很明確，卻不太令人安心。在設定中關閉 WPS 並不能保證安全：Kaiser 警告，該開關可能無法移除有漏洞的程式碼，附近路過的人仍可能無需密碼便進行控制。正確的做法是向電訊商或製造商查詢，是否有可修正這個具體錯誤的韌體更新。至於較舊、使用 eCos 的裝置，可能根本沒有這類更新，因為沒有遷移途徑。
Kaiser 提到另一個會改變這類發現進程的細節：使用先進人工智能模型，他只花了不到一星期；若獨自完成，則要花上數月。成本降低，既有利於防守者，也有利於懷有惡意的漏洞搜尋者。電訊商提供的路由器是極具吸引力的目標：幾乎沒有人會檢查其韌體，而整個家庭的網絡流量都會經過這些路由器。
完整的地圖目前仍未出現。Kaiser 公開了一款識別工具和一條 YARA 規則——一種用來偵測檔案模式的格式——以估算各國有多少裝置載入了有漏洞的程式碼。在電訊商公佈數字之前，目前可以確定的數字來自比利時：估計有超過1,5百萬部裝置，截至10月15日仍沒有任何修補程式。
照片：Hasan Almasi，經 Quentin Kaiser 提供
來源：DEV Community · dev.to