Пропуск в Wi-Fi на Broadcom дава root на милиони рутери

Белгийският изследовател Куентин Кайзер публикува на 16 октомври 2026 г. анализ, според който пропуск в собствената WPS имплементация на Broadcom позволява на атакуващ, който е само в радиообхват на мрежата, да изпълни код като root върху рутера. Не е нужна парола за Wi-Fi, не е нужно натискане на бутон, не е нужна каквато и да е автентикация. Broadcom знае за проблема от 2018 г., отказа да регистрира CVE и за част от засегнатите чипове кръпка просто няма — The Hacker News определя случая като „forever day“ уязвимост.

Два бъга в един парсер

Кайзер е озаглавил изследването си One Parser, Two Bugs, Many Routers и това е доста точно описание. Проблемът е в начина, по който кодът на Broadcom сглобява фрагментирани WPS съобщения — логиката се намира в wps/common/ap/ap_eap_sm.c и не проверява достатъчно добре какво получава. Атакуващият изпраща нарочно построени фрагменти, които повреждат паметта на устройството.

Оттам нататък Кайзер е изградил две неща: начин да изтегли съдържание от паметта на рутера и начин да стартира собствен код върху него. Тъй като WPS процесът работи с максимални привилегии, резултатът е root. Практическите последствия са измъкване на Wi-Fi паролите и отваряне на reverse shell към устройството, което стои между вас и интернет.

Изследователят е дал на находките си вътрешни номера — KS-20260718-02 за платформите с eCos и KS-20260727-01 за тези с Linux — именно защото официални CVE идентификатори липсват.

Кои чипове са засегнати

Разделението минава по операционната система на самия SoC:

eCos (без поправка):   BCM3380, BCM3383, BCM33834
Linux (поправимо):     BCM3390, BCM65xx, BCM68xx

При eCos базираните чипове няма работеща кръпка и най-вероятно никога няма да има — това са модеми и гейтуъи отпреди години, чиито производители отдавна са се разделили с тях. При по-новите Linux платформи поправка е технически възможна, но тя трябва да мине през OEM производителя и после през оператора.

В хранилището си в GitHub Кайзер изброява над 40 потвърдени модела — access point-и и рутери от сериите WAP и RV на Cisco, Netgear CG3100 и CG3700B, устройства от серията Archer VR на TP-Link, ZTE F680, както и модели на Sagemcom, Zyxel, Huawei, ARRIS и Technicolor. Самият той уточнява, че списъкът не е изчерпателен и че очаква реалният брой да е „хиляди различни устройства, марки и модели“.

Три от четирите белгийски оператора

Най-неприятната част от доклада е, че не говорим за теория. Кайзер е демонстрирал работеща експлоатация върху оборудването на три от четирите големи белгийски интернет доставчици: ASKEY TCG3000 при Orange Belgium, BBOX 3V+ от Sagemcom при Proximus и няколко модела при VOO — Netgear CG3100 и CG3700, Technicolor TC7210 и CGA4233. Оценката е за стотици хиляди гейтуъи само в Белгия, а Broadcom доставя Wi-Fi SDK на десетки производители по света.

Реакцията на Broadcom е централната тема в доклада. Компанията е пуснала поправка през 2018 г., но тя е непълна, а вместо да я доработи, препоръчала на OEM партньорите си да минат на hostapd — тоест да изоставят собствената ѝ имплементация. Производителите не са го направили масово. Broadcom е отказала и да сподели кои OEM-и са били уведомени тогава, което прави проследяването на засегнатите модели почти невъзможно.

Какво можете да направите

Публично известни атаки в реална среда няма засега. Това не прави картината спокойна, защото за експлоатация е достатъчно някой да е в радиообхват — в блок, в офис сграда, на паркинга.

Хранилището на Кайзер съдържа два инструмента за проверка: YARA правила (broadcom_wps_monitor.yar), които разпознават Broadcom WPS Monitor двоичните файлове в ELF32 ARM и MIPS firmware, и скрипт broadcom_fingerprint.py, който работи срещу живи access point-и в monitor режим и ги разпознава по специфични information elements. Изследователят сам предупреждава, че YARA правилата са помощно средство за триаж, а не окончателна присъда.

Изключването на WPS от уеб интерфейса е първото, което трябва да пробвате, но не разчитайте на него сляпо — уязвимият демон може да продължи да слуша. Ако устройството е на оператора, въпросът е към него. Ако е ваше и е с eCos чип, единственото реално решение е подмяна.

Контекст

Седмицата изобщо е силна за уязвимостите с root привилегии. BleepingComputer съобщи, че хакери активно експлоатират CVE-2026-106931 — инжектиране на OS команди във функцията за статистика на японския WAF SiteGuard Server Edition, който пази над 1,5 милиона сайта и е активен на около 500 000 WordPress инсталации. Засегнати са версии от 2.20 до 8.00 Update 4, функцията е включена по подразбиране, а производителят е предупредил директните си клиенти още на 29 септември. Публично обявяване дойде на 18 октомври с уточнението, че самото обновяване може да изтрие следите от атаката — затова администраторите трябва първо да запазят диагностичната информация.

Общото между двата случая е познато: кодът, който дава най-високите привилегии, често е най-старият и най-малко гледаният. Същата логика видяхме и при бягството от гост машина към root на хоста в KVM, и при пробива, който накара ConnectWise да спре Cloud Backup.

Заключение

Броячът е спрял на нула кръпки за най-старите чипове и няма индикации това да се промени. Ако имате модем или гейтуъй на 6–8 години с Broadcom чип, най-разумният ход е да проверите модела в списъка на Кайзер и да питате оператора си какво планира. Устройство, което приема команди по въздуха без парола, не се поправя с по-дълга Wi-Fi парола.