Ошибка в проприетарной реализации Wi-Fi от Broadcom позволяет постороннему в зоне радиосигнала получить контроль над роутером. Пароль сети и вход в веб-интерфейс не нужны. Сбой кроется в обработке сообщений WPS (Wi-Fi Protected Setup, упрощённая настройка подключения). Исследователь Квентин Кайзер показал чтение памяти и выполнение кода с правами root, то есть с высшим уровнем доступа в Linux. Затронуты точки доступа и абонентские шлюзы десятков производителей, включая оборудование бельгийских провайдеров.
Обработка сообщений WPS в SDK Broadcom
Ошибка присутствует в комплекте разработчика Broadcom (SDK, набор средств для сборки прошивки) как минимум с 2010 года. В 2018 году вендор выпустил неполное исправление. После этого он советовал переходить на hostapd, альтернативную реализацию Wi-Fi. Идентификатор CVE проблеме не присвоили, хотя Broadcom остаётся организацией, которая присваивает такие номера. На 15 октября 2026 года проверенные устройства провайдеров остаются без патча. Сведений о применении ошибки в реальных атаках исследователь не приводит.
Сборка сообщений и повреждение памяти
Прошивка Broadcom принимает сообщения WPS по радиоэфиру и собирает их из фрагментов. Ошибки при сборке ведут к повреждению памяти. Аккуратно формируя такие сообщения, атакующий получает раскрытие информации из памяти и выполнение произвольного кода. Штатную процедуру WPS проходить не требуется, как и подключаться к сети. Атака идёт по Wi-Fi, поэтому доступ к веб-панели роутера не нужен.
Эффект шире простого сбоя связи. В одной демонстрации выполнение кода позволило достать ключ сети из памяти шлюза ASKEY TCG3000 оператора Orange Belgium. В другой исследователь получил обратную оболочку (удалённый доступ к командной строке) на шлюзе Proximus, передавая кадры 802.11. Командно-контрольный сервер (C2) для этого не понадобился. Работает такая атака и на расстоянии, а не только вплотную к устройству.
Чипы, модели и оценки охвата
Проблему подтвердили на устройствах с чипами BCM3380, BCM3383 и BCM33834, которые работают под управлением eCos. Для этих платформ исправления не ожидается: вендор предлагает переход на другой стек Wi-Fi, а такой переход на eCos не сделан. Потенциально затронуты Linux-платформы на BCM3390, BCM65xx и BCM68xx. Там исправление возможно, но требует переработки прошивки со стороны производителя.
В Бельгии проверены Proximus BBOX 3 и BBOX3V+, несколько моделей Netgear и Technicolor от VOO, а также ASKEY TCG3000 от Orange Belgium. По оценке исследователя, у Proximus под риск попадают около 850 тысяч шлюзов из 2,3 миллиона абонентов, у VOO порядка 500 тысяч, у Orange Belgium около 210 тысяч. Telenet может быть затронут через устройства Sagemcom, но проверить их не удалось. Полного списка производителей пока нет.
Перечень чипов охватывает оборудование, которое продают под десятками брендов. Один и тот же код десятилетиями переходит из прошивки в прошивку. Поэтому география проблемы не ограничивается Бельгией. Сам исследователь отмечает, что с современными моделями искусственного интеллекта работа заняла меньше недели, хотя ещё недавно требовала бы месяцев.
Статус исправлений и действия владельцев
Патч 2018 года закрыл проблему частично. Broadcom получил отчёт исследователя в июле 2026 года и ответил, что исправление доступно. При этом производителям предложили самим обращаться к вендору. Копию уведомления через портал для клиентов Broadcom предоставить отказался. Обращение в CERT/CC закрыли в тот же день: Broadcom имеет право присваивать CVE и не стал этого делать.
Владельцам роутеров остаётся проверять уведомления провайдера и уточнять, есть ли прошивка для конкретной модели. Крепкий пароль на страницу администрирования здесь не защищает: атака идёт по Wi-Fi и логина не требует. Если провайдер подтверждает уязвимость модели и не предлагает обновление, замена устройства на поддерживаемое снижает риск. Провайдерам и производителям стоит проверить, какие модели собраны на затронутых чипах, и известить абонентов.
Ошибка живёт в коде вендора 16 лет. Исправление в SDK не защищает абонента, пока производитель роутера не встроит его в прошивку и пока провайдер не доставит обновление. Такая дистанция между поставщиком чипа и владельцем устройства превращает старые ошибки в постоянный риск.
Ссылки
