Broadcom 開發套件漏洞可讓攻擊者在 Wi-Fi 範圍內無密碼控制路由器，程式碼至少自 2010 年存在

La falla Broadcom en routers permite el control sin contraseña de un equipo desde la calle. Basta estar dentro del alcance de la señal Wi-Fi. El atacante no necesita la clave de la red, no tiene que completar el registro habitual del equipo y la víctima no tiene que tocar nada.

El investigador Quentin Kaiser presentó el caso el 16 de octubre en Hexacon, en París, y publicó la versión extensa de su trabajo ese mismo día. El error vive en el programa que Broadcom entrega a los fabricantes, su kit de desarrollo, desde al menos 2010. Dieciséis años después, parte de esos equipos sigue instalada en casas y negocios.

Un código WPS de 2010 que Broadcom dejó a medias en 2018

El punto débil está en WPS, el sistema de configuración protegida de Wi-Fi que conecta aparatos nuevos a la red sin escribir la clave completa. Dentro de ese sistema, el código que vuelve a unir los mensajes EAP fragmentados —EAP es el protocolo de autenticación de ese registro— desborda la memoria con mensajes armados de forma maliciosa. Esa corrupción deja dos salidas al atacante: leer datos guardados en el equipo y ejecutar código propio dentro del enrutador.

Broadcom publicó una corrección incompleta en 2018, sin hacer ruido, y recomendó a sus clientes mudarse a hostapd, otro programa de gestión inalámbrica. Kaiser lo resume con una frase dura para las plataformas con eCos —BCM3380, BCM3383 y BCM33834—: ahí el error queda como un fallo permanente, sin arreglo previsto. En las plataformas con Linux —BCM3390, BCM65xx y BCM68xx— la salida depende de que cada fabricante acepte hacer esa migración.

La falla Broadcom en routers suma otro problema: Broadcom declinó asignar un código CVE, el identificador público para seguir una vulnerabilidad en bases de datos y boletines. Kaiser reportó el error el 18 y el 27 de julio de 2026. La empresa respondió que había un parche disponible y que los fabricantes debían contactarla. El centro CERT/CC abrió un caso el 4 de agosto y lo cerró el mismo día, tras confirmar que Broadcom podía registrar el CVE y no pensaba hacerlo.

La prueba belga: clave robada y terminal abierta por el aire

Kaiser no se quedó en la teoría. En un enrutador ASKEY TCG3000 de Orange Bélgica, el ataque extrajo la clave Wi-Fi guardada en la memoria del equipo y la envió al atacante por la señal inalámbrica; con esa clave, el investigador entró a la red. En un BBOX3V+ de Proximus, fabricado por Sagemcom, el mismo error abrió una terminal remota usando solo tramas Wi-Fi, sin servidor externo de apoyo.

El alcance medido en Bélgica da la magnitud del asunto. Kaiser demostró el fallo en equipos de tres de las cuatro grandes operadoras del país: Proximus, VOO y Orange Bélgica. Su cálculo, con datos del regulador belga IBPT y cifras públicas de las operadoras, estima 850.000 equipos de Proximus, 500.000 de la flota antigua de VOO y 210.000 de Orange Bélgica: más de 1,5 millones en un país pequeño. De Telenet, la cuarta operadora, no pudo confirmar el fallo porque no consiguió un equipo para la prueba.

Al 15 de octubre de 2026, ninguno de esos equipos había recibido el parche. Kaiser cumplió un plazo de divulgación de 90 días antes de hablar en público, y la corrección no llegó a los aparatos ya instalados. El investigador reconoce confianza media en sus estimaciones y espera que las operadoras publiquen la cifra exacta.

Equipos de Movistar y otras marcas aparecen en la lista abierta

El asunto no queda en Bélgica. La página pública del caso, bautizada WPSplinter por Kaiser, recoge modelos de decenas de marcas y advierte que la lista no está completa. Aparecen equipos ligados a Movistar y Telefónica, muy comunes en hogares hispanos: el Askey RTF3505VW, el Comtrend VG8050 y el MitraStar GPT-2541GNAC. También figuran aparatos de Cisco, TP-Link, ZTE, Nokia, Netgear y Zyxel. Que un modelo aparezca no prueba que cada unidad sea vulnerable: la versión del programa interno manda.

Para el lector con un enrutador de su operadora, la advertencia práctica es clara y poco cómoda. Apagar WPS en los ajustes no garantiza nada: Kaiser advierte que ese interruptor puede no eliminar el código vulnerable, y el control sin contraseña seguiría al alcance de quien pase cerca. La pregunta correcta para la operadora o el fabricante es si existe una actualización del programa interno que corrija este error concreto. En los equipos con eCos más antiguos, esa actualización puede no existir, porque no hay ruta de migración.

Kaiser contó otro detalle que cambia el ritmo de estos hallazgos: con modelos avanzados de inteligencia artificial, el trabajo le tomó menos de una semana; en solitario le habría llevado meses. Esa rebaja de costos sirve para quien defiende y para quien busca fallos con intenciones malas. Y los enrutadores de operadora son un blanco jugoso: casi nadie revisa su programa interno y el tráfico de una casa entera pasa por ellos.

El mapa completo todavía no existe. Kaiser publicó una herramienta de identificación y una regla YARA —un formato para detectar patrones en archivos— para medir cuántos equipos cargan el código vulnerable en cada país. Hasta que las operadoras publiquen sus cifras, el dato firme es el belga: más de 1,5 millones de equipos estimados y cero parches al 15 de octubre.

Fuente: Quentin Kaiser

Foto: Hasan Almasi vía Quentin Kaiser