Een Broadcom WPS-lek legt een pijnlijke zwakte bloot in de Wi‑Fi Protected Setup (WPS) componenten van veel router- en access pointapparaten. Onderzoeker Quentin Kaiser maakte op 16 oktober bekend dat een aanvaller binnen radiosignaalbereik via WPS ongeautoriseerd code kan uitvoeren met root-rechten. Zonder netwerkwachtwoord en zonder een normale koppelstap kan het volgens hem zelfs op afstand: in elk geval hoeft een aanvaller geen verbinding te hebben met het internet of naar een externe server te verwijzen.
Wat dit extra urgent maakt: er is geen CVE toegewezen en er lijkt geen patch beschikbaar voor getroffen toestellen. Daarom is de focus voor defenders verschoven naar triage (vaststellen of je apparaat kwetsbaar is) en waar nodig vervanging.
Wat is er mis met WPS bij Broadcom?
De fout zit in Broadcoms implementatie van WPS, een functie waarmee je een toestel met een netwerk kunt verbinden zonder dat je het wachtwoord handmatig hoeft in te typen. Kaiser beschrijft dat Broadcoms code problemen heeft met het herassembleren van gefragmenteerde WPS-setupberichten.
Door specifiek geconstrueerde berichten te sturen kan de router of het access point geheugen gaan beschadigen. Vanaf dat punt kan de aanvaller volgens het onderzoek twee routes bouwen: geheugen teruglezen en daarna eigen code uitvoeren op het apparaat.
Hoe werkt de aanval in de praktijk?
Kaiser demonstreerde de exploit tegen thuisnetwerkapparatuur van verschillende leveranciers in België, waaronder gateways van Orange Belgium en Proximus. In beide gevallen waren de aanvallen volgens zijn beschrijving mogelijk zonder login en werkte de exploit op afstand over Wi‑Fi frames.
Wachtwoord uit routerinstellingen lezen
Bij een Orange Belgium gateway, op een Askey TCG3000, kon Kaiser in zijn proof-of-concept de opgeslagen Wi‑Fi-gegevens ophalen. Het gaat daarbij om het Wi‑Fi wachtwoord (PSK) uit de routerconfiguratie. Vervolgens kon hij het netwerk joinen met dat wachtwoord.
Remote shell via Wi‑Fi frames
Bij een Proximus gateway, op een Sagemcom-gebouwde BBOX3V+, opende de exploit volgens hem een reverse shell—een vorm van remote command execution waarbij de aanvaller via de communicatiekanalen terugkrijgt wat hij nodig heeft. Ook hier is geen externe server vereist in de demonstratie: de communicatie loopt via de Wi‑Fi frames.
Belangrijk detail: Kaiser stelt dat hij geen echte aanvallen in het wild heeft kunnen vaststellen die al gebruikmaken van deze specifieke fout. De werkende exploits zijn door hemzelf opgebouwd.
Waarom er geen patch is (en waarom het zo lastig te managen is)
Het lek is niet van gisteren. Kaiser traceert de problematische code tot minstens 2010. Broadcom zou in 2018 een onvolledige “fix” hebben geleverd, waarna het advies richting klanten ging om een andere Wi‑Fi-softwarecomponent te gebruiken, namelijk hostapd, in plaats van de gebrekkige benadering. Voor oudere chips met eCos-baseerde modellen rapporteert Kaiser dat er geen bruikbare oplossing is uitgekomen.
Daarom gebruikt hij voor die oudere categorie de term “forever day”: een kwetsbaarheid die mogelijk op die hardware nooit wordt gepatcht.
Geen CVE: wat betekent dat voor organisaties?
Normaliter helpt een CVE (Common Vulnerabilities and Exposures) leveranciers en security teams om kwetsbaarheden eenduidig te volgen: patchplanning, advisories en detectieregels worden er vaak op gebouwd. In dit geval is er geen CVE toegewezen.
Kaiser zegt dat Broadcom volgens hem al sinds 2018 op de hoogte was van de bug, maar geen CVE heeft willen registreren of publieke details heeft gedeeld. Het CERT Coordination Center zou het dossier op dezelfde dag hebben gesloten, omdat Broadcom zelf de autoriteit heeft om CVE’s voor zijn producten toe te wijzen.
Is mijn apparaat kwetsbaar? Gebruik triage, niet alleen een checklist
Omdat er geen patch is om te installeren en geen simpele instelling die de aanval “over-the-air” direct blokkeert, draait het nu om bepalen welke apparaten geraakt zijn. Kaiser biedt daarom geen klassieke update, maar hulpmiddelen om kwetsbaarheid te inventariseren.
YARA-regels voor firmware-detectie
Hij publiceerde YARA-regels die in geëxtraheerde firmware zoeken naar kwetsbare code. Een snelle kanttekening: omdat een “hit” ook kan voorkomen bij apparaten die niet volledig kwetsbaar zijn, zijn dit volgens hem triage-aanwijzingen en geen sluitend bewijs.
Een script dat live Wi‑Fi access points controleert
Daarnaast deelt Kaiser een script dat luistert bij een live access point en rapporteert of het apparaat “waarschijnlijk kwetsbaar” lijkt. Ook dat is weer een eerste stap. Zie het als een signaal om verder te kijken—zeker bij toestellen die waarschijnlijk nooit gepatcht worden.
Welke hardware loopt risico?
Kaiser schat dat er wereldwijd miljoenen apparaten getroffen kunnen zijn, omdat de Broadcom WPS-code ingebed zit in routers en access points van meerdere fabrikanten.
Hij onderscheidt twee chipfamilies:
- Oudere eCos-modellen (o.a. BCM3380, BCM3383 en BCM33834): geen bruikbare fix gevonden; hij bestempelt het als een “forever day”.
- Nieuwere Linux-gebaseerde modellen (o.a. BCM3390, BCM65xx en BCM68xx): potentieel wél te repareren als makers hun Wi‑Fi-software aanpassen.
In België vond Kaiser de fout exploiteerbaar bij gateways van Proximus, Orange Belgium en VOO. Voor Telenet vermoedt hij impact, maar hij kon het niet testen.
Waarom dit vooral speelt bij aanvallen “van dichtbij”
Deze aanval past volgens Kaiser bij scenario’s waarin een tegenstander zich in de fysieke omgeving van het doel bevindt—dus niet per se aanvallen via het internet. Hij vergelijkt het met een techniek die eerder is gezien bij staatssponsorde groepen: het breken in vanuit “over de straat” of vanaf nabijheid, gebruikmakend van Wi‑Fi als transport.
Dat betekent dat organisaties en thuisgebruikers niet alleen moeten kijken naar internetblootstelling, maar ook naar Wi‑Fi-hygiëne en het beheer van apparatuur.
Wat kun je nu doen als defender?
Omdat een “patch installeren” hier waarschijnlijk niet het hoofdscenario is, ligt de handelingslijn op vandaag op drie sporen: detecteren, risico inschatten en maatregelen nemen voor hardware die niet repareerbaar lijkt.
1) Inventariseer Wi‑Fi apparatuur en firmware
Breng in kaart welke routers, gateways en access points in je omgeving draaien op Broadcom-implementaties van WPS. Waar mogelijk: verzamel firmwareversies zodat je ze kunt vergelijken en triage kunt uitvoeren met de door Kaiser gedeelde technieken.
2) Gebruik YARA- of live-detectie als eerste filter
Zie de YARA-regels of het live script als startpunt. Een match is geen absolute bevestiging, maar wel reden om het betreffende apparaat nader te onderzoeken of te prioriteren voor vervanging.
3) Overweeg vervanging bij “forever day”-hardware
Voor toestellen uit de oudere eCos-categorie lijkt er volgens het onderzoek geen functionele patchroute. In dat geval is vervanging volgens dezelfde logica het meest pragmatische pad.
Gerelateerde context: waarom dit soort fouten zo schadelijk is
Veel security-incidenten draaien om misbruik van softwarefouten in apparaten die “aan de rand” staan—denk aan routers en Wi‑Fi componenten. Als je breder wilt kijken naar hoe organisaties met compromitteringen en opvolgacties omgaan, lees ook Gecompromitteerde ConnectWise toegang: wat nu te doen?. Dat artikel richt zich op een ander product, maar de aanpak (scope bepalen, toegang beperken, herhaling voorkomen) blijft herkenbaar.
Conclusie
De Broadcom WPS-lek laat zien hoe een fout in Wi‑Fi Protected Setup—met manipulatie van gefragmenteerde WPS-berichten—kan leiden tot geheugenproblemen en uiteindelijk root-code-uitvoering. Het onderzoek stelt dat aanvallen mogelijk zijn binnen bereik, zonder netwerkwachtwoord en zonder standaard koppelstap. Omdat er geen CVE en geen duidelijke patch beschikbaar is, is de kern van de respons: triage uitvoeren, prioriteren op waarschijnlijk kwetsbare hardware en waar nodig toestellen vervangen.
Bron: https://thehackernews.com/2026/10/unpatched-broadcom-wi-fi-flaw-lets.html
