Laut Berichten ermöglicht eine Schwachstelle in der proprietären 802.11-Implementierung von Broadcom einem Angreifer in WLAN-Reichweite, Code auf betroffenen Routern auszuführen, ohne das Netzwerkpasswort zu kennen, die WPS-Registrierung abzuschließen oder eine Interaktion durch Nutzer zu benötigen.
Der Forscher Quentin Kaiser stellte die Ergebnisse auf der Hexacon in Paris vor. Laut dem Bericht von Security Affairs vom 19. Oktober 2026 ist der verwundbare Code mindestens seit 2010 im SDK von Broadcom enthalten.
Kaiser demonstrierte die Ausnutzung an Routern von Orange Belgium und Proximus. Er schätzt, dass allein in Belgien über 1,5 Millionen Gateways betroffen sein könnten. Diese Zahl bezeichnet jedoch keine bestätigt verwundbaren Geräte, keine kompromittierten Systeme und keine einzelnen Kunden.
WPS-EAP-Reassemblierung öffnet einen Angriffspfad vor der Authentifizierung
Die Schwachstelle betrifft den Code zur EAP-Reassemblierung bei WPS, der bei der drahtlosen Einrichtung verwendet wird. Kaiser zufolge können speziell konstruierte WLAN-Frames die verwundbare Komponente erreichen, bevor sich ein Angreifer am Netzwerk authentifiziert hat.
Eine erfolgreiche Ausnutzung soll kontrollierte Informationsoffenlegung und die beliebige Ausführung von Code ermöglichen. Da der Angriff über lokale Funkverbindung erfolgt und nicht über das Internet, muss sich der Angreifer in WLAN-Reichweite befinden. Kaiser sagte, die enge Antennenplatzierung in seinem Labor sei keine Voraussetzung für den Betrieb gewesen, und die Ausnutzung funktioniere auch über größere Distanzen.
Bei einem Orange-Belgium-ASKEY-TCG3000 extrahierte die Demonstration den WLAN-Pre-Shared-Key aus dem NVRAM und übertrug ihn über WLAN zurück. Der Forscher verwendete den PSK anschließend, um dem Netzwerk beizutreten.
Eine separate Demonstration richtete sich gegen ein Proximus Sagemcom F@st / BBOX3V+. In diesem Fall öffnete der Angriff eine Reverse Shell, und zwar allein über WLAN-Frames, ohne einen aus dem Internet erreichbaren Befehlsserver oder eine Cloud-Infrastruktur für Command-and-Control.
Diese Tests zeigen zwei getrennte Folgen: Ein Angreifer kann unter Umständen die Zugangsdaten für das lokale Netzwerk auslesen oder unmittelbar Code auf dem Gateway ausführen. Der Zugriff auf Router-Ebene könnte außerdem den Datenverkehr gefährden, der über das Gerät läuft.
Chipsätze reichen von älteren eCos- bis zu Linux-basierten Plattformen
Kaiser ermittelte in seiner Analyse folgende Chipsatzfamilien:
- eCos-basiert: BCM3380, BCM3383 und BCM33834
- Linux-basiert: BCM3390, BCM65xx und BCM68xx
Das eCos-Problem beschrieb er als „definitiven Forever Day“ und argumentierte, dass das zugrunde liegende Design eine wirksame Reparatur verhindere. Bei Linux-basierten Systemen sprach er von einem „potenziellen Forever Day“, weil die Behebung davon abhängt, dass Gerätehersteller von der betroffenen Implementierung wegkommen.
Laut Kaiser hatte Broadcom den Herstellern empfohlen, auf hostapd umzustellen. Außerdem sagte er, ein 2018 veröffentlichter Patch habe das Problem nicht vollständig behoben.
Die demonstrierten Geräte waren:
- Orange Belgium ASKEY TCG3000
- Proximus Sagemcom F@st / BBOX3V+
Geräte von Telenet könnten über Sagemcom-Modelle ebenfalls betroffen sein, Kaiser konnte jedoch kein Exemplar beschaffen, um diese Einschätzung zu bestätigen. Allgemeiner sollen die Chipsätze in Hunderten Produkten von Dutzenden Herstellern vorkommen, der Bericht enthält jedoch keine vollständige Modellliste.
Schätzung für Belgien übersteigt 1,5 Millionen Gateways
Auf Basis von Daten des belgischen Telekommunikationsmarktes erstellte Kaiser eine grobe Schätzung der potenziell gefährdeten Geräte:
| Anbieter oder Flotte | Geschätzte Gateways |
|---|---|
| Proximus | rund 850.000 |
| VOO-Altflotte | rund 500.000 |
| Orange Belgium | rund 210.000 |
Die Gesamtzahl bezifferte er mit „über 1,5 Millionen“ Gateways. Diese Zahlen schätzen das Ausmaß des Einsatzes; sie belegen nicht, wie viele Router ausnutzbare Firmware enthalten oder tatsächlich angegriffen wurden.
Das praktische Risiko ist dort am größten, wo sich unbefugte Personen dauerhaft in Funkreichweite aufhalten können, etwa in Hotels und anderen gemeinsam genutzten Umgebungen, oder wo ein bestimmtes Ziel in der Nähe beobachtet wird. Anders als bei einem klassischen, aus dem Internet erreichbaren Einbruch setzt die beschriebene Technik nicht voraus, dass die Verwaltungsoberfläche des Routers öffentlich zugänglich ist.
Patch-Aussagen stehen im Widerspruch zum Gerätestatus
Kaiser sagte, er habe die Fehler im Juli 2026 an Broadcom gemeldet. Laut seiner Darstellung antwortete Broadcom, ein Patch sei verfügbar, und forderte ihn auf, die betroffenen Gerätehersteller sollten sich direkt an das Unternehmen wenden.
Diese Position steht im Spannungsverhältnis zu Kaisers Schlussfolgerung, dass die Korrektur von 2018 unvollständig war. Security Affairs berichtete, dass bis zum 15. Oktober 2026 keines der betroffenen belgischen Geräte einen Patch erhalten hatte.
Kaiser sagte außerdem, Broadcom habe es abgelehnt, eine CVE zuzuweisen, und die Sicherheitsmitteilung, die über das Kundenportal verteilt wurde, nicht offengelegt. CERT/CC eröffnete daraufhin einen Vorgang, schloss ihn jedoch noch am selben Tag, nachdem bestätigt worden war, dass Broadcom CVEs selbst vergeben kann und dies nicht beabsichtigt.
Damit liegt die Behebung auf Einsatzebene bei den Router-Herstellern und den Internetanbietern. Kunden können verwundbaren SDK-Code in der Regel nicht selbst ersetzen.
Nutzer der genannten Router sollten bei ihrem Anbieter nach einem Firmware-Update oder einem Hardwaretausch für ihr Modell fragen. Allein das Ändern des WLAN-Passworts würde den von Kaiser beschriebenen, nicht authentifizierten Erstauslöser nicht verhindern, wenn auch eine Passwortänderung angebracht sein kann, falls ein Schlüssel vermutlich offengelegt wurde. Das Deaktivieren von WPS sollte allein auf Grundlage des vorliegenden Berichts nicht als bestätigte Gegenmaßnahme gelten.
Organisationen, die Gateways verwalten, sollten Bestandsaufnahmen an Standorten priorisieren, an denen sich Außenstehende leicht in WLAN-Reichweite aufhalten können, und vom Hersteller bereitgestellte Firmware einspielen, sobald sie verfügbar ist. Für eCos-basierte Geräte legt Kaisers Einschätzung nahe, dass ein Austausch nötig werden kann, falls keine unterstützte Korrektur erscheint.
KI-gestützte Analyse verkürzte die Forschung
Kaiser führte die Geschwindigkeit der Entdeckung auf eine KI-gestützte Codeanalyse zurück. „Mit KI-Spitzenmodellen habe ich weniger als eine Woche gebraucht“, sagte er, verglichen mit den Monaten, die seiner Schätzung nach eine manuelle Prüfung erfordert hätte.
Dabei handelt es sich um die Einschätzung des Forschers zu seinem eigenen Vorgehen, nicht um eine unabhängige Messung der Fähigkeiten dieser Modelle. Sie zeigt dennoch, wie KI-gestützte Analyse die Zeit verkürzen kann, die für die Prüfung alter, proprietärer Netzwerkcodes nötig ist. Dieser Vorteil steht Schwachstellenforschern zur Verfügung und möglicherweise auch Angreifern, die dieselbe Software untersuchen.
