Уязвимость возрастом 16 лет позволяет взломать роутеры Broadcom без пароля

Миллионы домашних роутеров и интернет-шлюзов могут оказаться уязвимыми для атак через Wi-Fi из-за ошибки в программном коде Broadcom, которая, по данным исследователя Квентина Кайзера, присутствует в нём как минимум с 2010 года. Злоумышленник в радиусе действия сети способен получить доступ к памяти устройства и выполнить собственный код без пароля, без подключения к сети и без завершения процедуры сопряжения. Broadcom утверждает, что заменила уязвимый компонент ещё в 2018 году, но исправление попало не на все устройства, а официальный номер CVE для проблемы компания запрашивать не стала.

Дыра без номера

Квентин Кайзер рассказал об уязвимости 16 октября 2026 года на конференции Hexacon в Париже и опубликовал техническое описание. Проблему он назвал WPSplinter. Название неофициальное, поскольку Broadcom отказалась регистрировать CVE и сослалась на устаревание ПО, сообщил TechRadar.

Ошибка прячется в старой реализации WPS Monitor, компоненте Broadcom для Wi-Fi Protected Setup. Технологию придумали для подключения устройств без ручного ввода длинного пароля, вместо него хватает нажатия кнопки на роутере или процедуры сопряжения. Беда не в самой идее WPS, а в обработке сообщений, которые приходят по беспроводному каналу. Данные приходят кусками, программа склеивает их в один блок и не проверяет, поместится ли результат в отведённую область памяти. Специально собранные сообщения приводят к повреждению памяти устройства.

Роутер принимает пакеты от любых устройств поблизости и обрабатывает их раньше, чем владелец успевает разобраться, кто стучится в сеть. Если уязвимый код доступен на этом этапе, пароль злоумышленнику не нужен. Сообщения обрабатываются без участия владельца, поэтому ошибка в коде оказывается доступной любому, кто находится рядом с устройством.

В 2018 году Broadcom объявила об исправлении, но Квентин Кайзер выяснил, что первая мера не устранила проблему полностью. Позднее компания рекомендовала производителям оборудования перейти на другую реализацию Wi-Fi на базе открытого проекта hostapd. После перехода старый компонент становится не нужен, но производителям приходится самостоятельно адаптировать код под конкретные устройства. В итоге Broadcom считает вопрос закрытым с 2018 года, а у домашних пользователей и интернет-провайдеров продолжают работать устройства со старым кодом.

Выпуск исправленного набора не означает, что обновление появится на каждом роутере, и производителям с провайдерами приходится выполнить три шага:

• подготовить совместимые прошивки;
• проверить их работоспособность;
• распространить среди пользователей.

Устройства, которые давно сняли с поддержки, и модели, которые производитель не перенёс на новую платформу, могут годами работать с уязвимым кодом. Роутеры на чипах Broadcom встречаются и в российских квартирах, а провайдерское оборудование порой стоит без обновлений с момента установки.

Пароль не помогает

Пароль беспроводной сети обычно не пускает посторонних, но здесь слабое место находится до завершения сопряжения. Согласно техническому описанию, атакующий обращается к уязвимому обработчику прямо через Wi-Fi и обходится без трёх вещей, которые нужны для обычного входа:

• пароля сети;
• кода WPS PIN;
• нажатия кнопки на корпусе роутера.

Достаточно оказаться в зоне радиодоступности устройства, например из квартиры соседей сверху. Исследователь продемонстрировал два результата атаки:

• ему удалось извлечь из памяти маршрутизатора сохранённый пароль беспроводной сети;
• ему удалось добиться выполнения кода и открыть удалённую командную оболочку через Wi-Fi-пакеты.

Атака отличается от известных взломов WPS начала 2010-х годов, когда злоумышленники подбирали PIN-код и через него попадали в сеть. WPSplinter бьёт по ошибке в реализации компонента Broadcom, а не по перебору пароля или слабости механизма сопряжения. Итоговый ущерб зависит от модели и прошивки. Доступ к памяти раскрывает конфиденциальные сведения, а выполнение кода даёт контроль над отдельными функциями устройства. Через роутер проходит трафик всех подключённых устройств, от ноутбуков до камер и умных колонок, поэтому утечка пароля или контроль над функциями маршрутизатора затрагивает всю домашнюю сеть.

Не каждый роутер под ударом

Наличие чипа Broadcom само по себе не доказывает уязвимость роутера, поэтому проверять приходится четыре параметра:

• модель устройства;
• аппаратную ревизию;
• версию прошивки;
• наличие в ней старого WPS Monitor.

Модель и аппаратную ревизию обычно указывает наклейка на корпусе, а версию прошивки показывает панель управления роутера. Если чип Broadcom стоит в устройстве, но прошивка построена на другой реализации Wi-Fi, старого WPS Monitor в ней может не оказаться. Исследователь опубликовал список подтверждённых моделей и сразу предупредил, что перечень неполный. Для российских владельцев роутеров отсутствие своей модели в таблице ничего не гарантирует, а статус устройства придётся уточнять у производителя или провайдера.

Эксперты CISOCLUB отметили, что главная проблема WPSplinter лежит в длинном пути исправления до конечного пользователя, а не в самой ошибке. Роутер редко попадает в поле зрения владельца после установки, поэтому прошивку не обновляют годами, и уязвимый код живёт в квартирах дольше, чем в архивах разработчиков. Отказ от CVE лишает провайдеров и владельцев привычной точки отсчёта, ведь сканеры уязвимостей и системы учёта ищут проблемы по этим номерам.

Дальность атаки ограничена радиусом Wi-Fi, но в многоквартирных домах этот радиус охватывает соседей по лестничной клетке, и риск для жильцов многоэтажек выше, чем для частного дома. Отключить WPS в настройках стоит сразу, затем проверить прошивку у производителя или провайдера, а модель без поддержки разумнее заменить. Если роутер выдал провайдер, вопрос о WPSplinter стоит адресовать его поддержке.

Ранее сообщалось, что связанная с Китаем хакерская группировка Fire Ant распространила кампанию кибершпионажа с виртуальных серверов VMware на маршрутизаторы Cisco, серверы TACACS и отдельные Linux-системы, используемые для администрирования сетевой инфраструктуры. По данным специалистов Sygnia, злоумышленники захватили контроль над оборудованием Cisco IOS XR и превратили его в средство перехвата сетевого трафика. Кроме того, хакеры научились удалять журналы событий, затрудняя расследование инцидентов и восстановление полной картины атак.