Según se informa, un fallo en la implementación propietaria de 802.11 de Broadcom permitiría a un atacante dentro del alcance de la red Wi-Fi ejecutar código en los routers afectados sin conocer la contraseña de la red, completar la inscripción WPS ni necesitar ninguna interacción del usuario.
El investigador Quentin Kaiser presentó los hallazgos en Hexacon, en París. Según el informe de Security Affairs del 19 de octubre de 2026, el código vulnerable está presente en el SDK de Broadcom desde 2010, como mínimo.
Kaiser demostró la explotación contra routers suministrados por Orange Bélgica y Proximus. Calcula que más de 1,5 millones de gateways podrían estar expuestos solo en Bélgica, aunque esa cifra no representa dispositivos vulnerables confirmados, sistemas comprometidos ni clientes individuales.
El reensamblado EAP de WPS abre una ruta de ataque previa a la autenticación
El fallo afecta al código de reensamblado EAP de WPS, que se usa durante la configuración inalámbrica. Según Kaiser, las tramas Wi-Fi construidas específicamente pueden llegar al componente vulnerable antes de que el atacante se haya autenticado en la red.
Según se informa, una explotación exitosa proporciona divulgación controlada de información y ejecución arbitraria de código. Como el ataque se realiza a través de radio local y no de internet, el adversario debe estar dentro del alcance de la red Wi-Fi. Kaiser afirmó que la ubicación cercana de la antena utilizada en su demostración de laboratorio no era un requisito operativo y que la explotación funciona a mayor distancia.
En un ASKEY TCG3000 de Orange Bélgica, la demostración extrajo la clave precompartida (PSK) de la Wi-Fi desde la NVRAM y la transmitió de vuelta por Wi-Fi. Después, el investigador usó esa PSK para unirse a la red.
Otra demostración apuntó a un Sagemcom F@st / BBOX3V+ de Proximus. En ese caso, el ataque abrió una shell inversa usando únicamente tramas Wi-Fi, sin depender de un servidor de comandos accesible desde internet ni de infraestructura de comando y control en la nube.
Estas pruebas muestran dos consecuencias distintas: un atacante podría recuperar las credenciales que protegen la red local u obtener ejecución de código directamente en el gateway. El acceso a nivel de router también podría poner en riesgo el tráfico que pasa por el dispositivo.
Los chipsets abarcan plataformas más antiguas basadas en eCos y otras basadas en Linux
Kaiser identificó en su evaluación las siguientes familias de chipsets:
- Basados en eCos: BCM3380, BCM3383 y BCM33834
- Basados en Linux: BCM3390, BCM65xx y BCM68xx
Describió el problema de eCos como un «forever day» definitivo, y argumentó que el diseño subyacente impide una reparación eficaz. En los sistemas basados en Linux usó el término «forever day» potencial, porque la solución depende de que los fabricantes de equipos abandonen la implementación afectada.
Según Kaiser, Broadcom había recomendado a los fabricantes migrar a hostapd. También afirmó que un parche publicado en 2018 no corrigió el problema por completo.
Los dispositivos demostrados fueron:
- ASKEY TCG3000 de Orange Bélgica
- Sagemcom F@st / BBOX3V+ de Proximus
Los equipos de Telenet también podrían verse afectados a través de dispositivos Sagemcom, pero Kaiser no pudo obtener una unidad para confirmar esa evaluación. En términos generales, según se informa, los chipsets aparecen en cientos de productos de decenas de fabricantes, aunque el informe no ofrece una lista completa de modelos.
La estimación de exposición en Bélgica supera los 1,5 millones de gateways
Con datos del mercado belga de telecomunicaciones, Kaiser elaboró una estimación aproximada de los equipos potencialmente expuestos:
| Proveedor o parque | Gateways estimados |
|---|---|
| Proximus | aproximadamente 850.000 |
| Parque heredado de VOO | aproximadamente 500.000 |
| Orange Bélgica | aproximadamente 210.000 |
Situó la cifra combinada en «más de 1,5 millones» de gateways. Estos números estiman la exposición del despliegue; no establecen cuántos routers contienen firmware explotable ni cuántos han sido atacados.
El riesgo práctico es mayor donde personas no autorizadas pueden permanecer dentro del alcance de la radio, como en hoteles y otros entornos compartidos, o donde se vigila un objetivo cercano concreto. A diferencia de una intrusión convencional desde internet, la técnica descrita no requiere que la interfaz de gestión del router sea accesible públicamente.
Las afirmaciones sobre parches no coinciden con el estado de los dispositivos
Kaiser afirmó que informó de los errores a Broadcom en julio de 2026. Según su relato, Broadcom respondió que había un parche disponible y le pidió que los fabricantes de dispositivos afectados se pusieran en contacto directamente con la empresa.
Esa postura no encaja bien con la conclusión de Kaiser de que la corrección de 2018 era incompleta. Security Affairs informó de que, a fecha del 15 de octubre de 2026, ninguno de los dispositivos belgas afectados había recibido un parche.
Kaiser también afirmó que Broadcom se negó a asignar un CVE y no quiso compartir el aviso de seguridad distribuido a través de su portal de clientes. CERT/CC abrió después un caso, pero lo cerró el mismo día tras confirmar que Broadcom podía emitir CVE por sí misma y no pretendía hacerlo.
Así, la corrección a nivel de despliegue queda en manos de los fabricantes de routers y de los proveedores de internet. Los clientes, por lo general, no pueden sustituir por sí mismos el código vulnerable del SDK.
Los usuarios de los routers mencionados deberían consultar con su proveedor si hay una actualización de firmware o un reemplazo de hardware específico para su modelo. Cambiar solo la contraseña Wi-Fi no impediría el disparador inicial sin autenticación que describe Kaiser, aunque un cambio de contraseña podría seguir siendo recomendable si se sospecha que una clave ha quedado expuesta. Desactivar WPS no debería considerarse una mitigación confirmada basándose únicamente en el informe disponible.
Las organizaciones que gestionan gateways deberían priorizar los inventarios en lugares donde personas externas puedan permanecer fácilmente dentro del alcance de la red Wi-Fi, y aplicar el firmware proporcionado por el fabricante en cuanto esté disponible. En el caso de los equipos basados en eCos, la evaluación de Kaiser sugiere que podría ser necesario sustituirlos si no se publica una corrección compatible.
El análisis asistido por IA acortó la investigación
Kaiser atribuyó la rapidez del descubrimiento al análisis de código asistido por IA. «Con los modelos de IA de frontera me llevó menos de una semana», dijo, frente a los meses que, según él, habría requerido una revisión manual.
Se trata de la valoración del propio investigador sobre su flujo de trabajo, no de una medición independiente de las capacidades de esos modelos. Aun así, ilustra cómo el análisis asistido por IA puede reducir el tiempo necesario para examinar código de redes antiguo y propietario, una ventaja disponible tanto para los investigadores de vulnerabilidades como, potencialmente, para los atacantes que analicen el mismo software.
