Una falla nell'implementazione proprietaria 802.11 di Broadcom consentirebbe, secondo quanto riferito, a un attaccante entro il raggio Wi-Fi di eseguire codice sui router interessati senza conoscere la password di rete, completare la registrazione WPS o ottenere alcuna interazione dell'utente.
Il ricercatore Quentin Kaiser ha presentato i risultati a Hexacon, a Parigi. Secondo il rapporto di Security Affairs del 19 ottobre 2026, il codice vulnerabile è presente nell'SDK di Broadcom almeno dal 2010.
Kaiser ha dimostrato lo sfruttamento su router forniti da Orange Belgium e Proximus. Stima che oltre 1,5 milioni di gateway potrebbero essere esposti nel solo Belgio, anche se la cifra non rappresenta dispositivi vulnerabili confermati, sistemi compromessi o singoli clienti.
Il riassemblaggio EAP di WPS apre un percorso d'attacco prima dell'autenticazione
La falla riguarda il codice di riassemblaggio EAP di WPS usato durante la configurazione wireless. Secondo Kaiser, frame Wi-Fi appositamente costruiti possono raggiungere il componente vulnerabile prima che un attaccante si sia autenticato sulla rete.
Lo sfruttamento riuscito consentirebbe, secondo quanto riportato, una divulgazione controllata di informazioni ed esecuzione di codice arbitrario. Poiché l'attacco viaggia via radio locale anziché via internet, l'avversario deve trovarsi entro il raggio della rete Wi-Fi. Kaiser ha dichiarato che la vicinanza dell'antenna usata nella dimostrazione di laboratorio non era un requisito operativo e che lo sfruttamento funziona anche a distanze maggiori.
Sul modello ASKEY TCG3000 di Orange Belgium, la dimostrazione ha estratto la chiave precondivisa Wi-Fi (PSK) dalla NVRAM e l'ha trasmessa di nuovo via Wi-Fi. Il ricercatore ha poi usato quella PSK per entrare nella rete.
Una dimostrazione separata ha preso di mira un Proximus Sagemcom F@st / BBOX3V+. In quel caso l'attacco ha aperto una reverse shell usando soltanto frame Wi-Fi, senza affidarsi a un server di comando raggiungibile da internet né a un'infrastruttura cloud di command-and-control.
Questi test mostrano due conseguenze distinte: un attaccante potrebbe riuscire a recuperare le credenziali che proteggono la rete locale oppure ottenere esecuzione di codice direttamente sul gateway. L'accesso a livello di router potrebbe inoltre mettere a rischio il traffico che attraversa il dispositivo.
I chipset interessano piattaforme eCos meno recenti e piattaforme basate su Linux
Nella sua valutazione, Kaiser ha individuato le seguenti famiglie di chipset:
- Basati su eCos: BCM3380, BCM3383 e BCM33834
- Basati su Linux: BCM3390, BCM65xx e BCM68xx
Ha definito il problema eCos un «definitive forever day», sostenendo che il progetto di base impedisce una correzione efficace. Per i sistemi basati su Linux ha usato invece l'espressione «potential forever day», perché la correzione dipende dal fatto che i produttori di apparecchiature abbandonino l'implementazione interessata.
Secondo Kaiser, Broadcom aveva raccomandato ai produttori di passare a hostapd. Ha inoltre affermato che una patch rilasciata nel 2018 non aveva corretto completamente il problema.
I dispositivi dimostrati sono stati:
- ASKEY TCG3000 di Orange Belgium
- Sagemcom F@st / BBOX3V+ di Proximus
Anche gli apparecchi Telenet potrebbero essere interessati tramite dispositivi Sagemcom, ma Kaiser non è riuscito a ottenere un esemplare per confermare questa valutazione. Più in generale, secondo quanto riportato, i chipset comparirebbero in centinaia di prodotti di decine di produttori, anche se il rapporto non fornisce un elenco completo dei modelli.
La stima dell'esposizione in Belgio supera 1,5 milioni di gateway
Usando i dati del mercato belga delle telecomunicazioni, Kaiser ha prodotto una stima approssimativa delle apparecchiature potenzialmente esposte:
| Operatore o parco | Gateway stimati |
|---|---|
| Proximus | circa 850.000 |
| Parco storico VOO | circa 500.000 |
| Orange Belgium | circa 210.000 |
Ha collocato il totale a «oltre 1,5 milioni» di gateway. Questi numeri stimano l'esposizione dovuta alla diffusione dei dispositivi; non stabiliscono quanti router contengano un firmware sfruttabile o siano stati attaccati.
Il rischio pratico è più alto dove persone non affidabili possono restare entro il raggio radio, come alberghi e altri ambienti condivisi, o dove viene monitorato un bersaglio specifico nelle vicinanze. A differenza di un'intrusione convenzionale esposta su internet, la tecnica descritta non richiede che l'interfaccia di gestione del router sia accessibile pubblicamente.
Le dichiarazioni sulle patch non coincidono con lo stato dei dispositivi
Kaiser ha dichiarato di aver segnalato le vulnerabilità a Broadcom nel luglio 2026. Secondo il suo racconto, Broadcom ha risposto che una patch era disponibile e gli ha chiesto di far contattare direttamente l'azienda dai produttori dei dispositivi interessati.
Questa posizione stona con la conclusione di Kaiser secondo cui la correzione del 2018 era incompleta. Security Affairs ha riferito che, al 15 ottobre 2026, nessuno dei dispositivi belgi interessati aveva ricevuto una patch.
Kaiser ha inoltre dichiarato che Broadcom ha rifiutato di assegnare un CVE e non intendeva condividere la notifica di sicurezza distribuita tramite il proprio portale clienti. Successivamente il CERT/CC ha aperto una segnalazione, ma l'ha chiusa lo stesso giorno dopo aver verificato che Broadcom poteva emettere CVE in autonomia e non intendeva farlo.
La correzione a livello di installazione resta quindi nelle mani dei produttori di router e dei provider di servizi internet. Di norma i clienti non possono sostituire da soli il codice SDK vulnerabile.
Gli utenti dei router citati dovrebbero chiedere al proprio operatore un aggiornamento firmware o una sostituzione hardware specifica per il proprio modello. Cambiare solo la password Wi-Fi non impedirebbe l'innesco iniziale senza autenticazione descritto da Kaiser, anche se un cambio di password potrebbe comunque essere opportuno se si sospetta che una chiave sia stata esposta. Sulla base del solo rapporto disponibile, la disattivazione di WPS non va considerata una soluzione alternativa confermata.
Le organizzazioni che gestiscono gateway dovrebbero dare priorità agli inventari nei luoghi in cui persone esterne possono facilmente restare entro il raggio Wi-Fi, e applicare il firmware fornito dai produttori non appena disponibile. Per le apparecchiature basate su eCos, la valutazione di Kaiser suggerisce che potrebbe essere necessario sostituirle se non verrà rilasciata una correzione supportata.
L'analisi assistita dall'IA ha accorciato la ricerca
Kaiser ha attribuito la rapidità della scoperta all'analisi del codice assistita dall'IA. «Con i modelli di frontiera di IA ci ho messo meno di una settimana», ha dichiarato, rispetto ai mesi che, a suo dire, avrebbe richiesto una revisione manuale.
Si tratta della valutazione del ricercatore sul proprio flusso di lavoro, non di una misurazione indipendente delle capacità dei modelli. Ciò nonostante, mostra come l'analisi assistita dall'IA possa ridurre il tempo necessario per esaminare codice di rete proprietario e datato, un vantaggio disponibile tanto ai ricercatori di vulnerabilità quanto, potenzialmente, agli attaccanti che esaminano lo stesso software.
