- 一个可追溯至 2010 年的 Broadcom WPS 漏洞，允许攻击者在 Wi-Fi 信号覆盖范围内无需密码即可在路由器上执行代码
- Broadcom 回应称相关代码自 2018 年起已被替换，但拒绝分配 CVE 编号，理由是软件已过时
- 修改 Wi-Fi 密码无效，禁用 WPS 设置也可能无法完全消除风险；固件更新或更换设备是主要解决方案
一项存在于无线网络软件中的缺陷至少可追溯至 2010 年。该漏洞使得任何处于无线电范围内的攻击者，均能在无密码验证的情况下接管易受攻击的路由器。
安全研究员昆·凯瑟（Kun Kaiser）在近期的 Hexacon 活动上披露了这一漏洞。由于未获分配 CVE 编号，该漏洞目前缺乏官方统一标识。
该缺陷位于 Broadcom 的 WPS Monitor（Wi-Fi 保护设置监控器组件）中。当 WPS 消息被分片传输时，软件负责将其重新拼接，但未对数据是否超出预留内存空间进行检查。
无需配对即可远程执行代码
根据凯瑟公开的文档显示，攻击者可在任何配对过程完成之前通过无线方式访问该代码。这意味着只要处于信号距离内，攻击者即可读取路由器内存并执行任意代码。与 2010 年代初针对 WPS PIN 的暴力破解不同，此次弱点源于 Broadcom 的代码实现，而非 WPS 协议本身。
在 Orange Belgium 提供的 Askey TCG3000 网关设备上，凯瑟演示了如何通过提取路由器存储中的 Wi-Fi 密码并通过无线发送来加入网络。在 Sagemcom 制造的 Proximus BBOX3V+ 设备上，他成功打开了一个完全运行在 Wi-Fi 框架上的远程 shell。虽然具体有效攻击距离未公布，但在比利时的部分路由器环境中，“从街对面即可获得 Root 权限”成为可能。
凯瑟于 2026 年 7 月向 Broadcom 报告了该漏洞，启动了标准的 90 天披露周期。7 月 28 日，Broadcom 回复称可提供补丁，并建议联系受影响的硬件制造商。据凯瑟透露，Broadcom 表示该公司自 2018 年以来已知晓此漏洞，并从其他渠道获悉过相关信息，此后一直在使用开源 hostapd 替代原有的 WPS Monitor 代码。
Broadcom 的官方立场是该问题已在多年前修复。然而，修复的有效性成为争议焦点。凯瑟指出，针对旧代码的 2018 年补丁并不完整。
在 Broadcom 基于 eCos 系统的旧芯片（BCM3380, BCM3383 和 BCM33834）上，不存在迁移路径，凯瑟将其称为“永久的坑”，意指这些缺陷永远无法修复。基于 Linux 的 BCM3390, BCM63xx, BCM65xx 和 BCM68xx 硬件理论上可以修复，但这依赖于各制造商完成移植工作，而许多此类产品的支持期已经结束。Broadcom 未发布公开的安全公告，外界仅能通过凯瑟披露的通信内容了解其立场。
Broadcom 也拒绝了分配 CVE 的请求，理由同样是软件已过时。值得注意的是，Broadcom 本身是 CVE 编号机构（CNA），有权决定其自身产品缺陷是否获得正式标识符。
由于攻击发生在身份验证之前，更改 Wi-Fi 密码无法提供保护。凯瑟的文档警告称，在路由器设置中关闭 WPS 也可能无效，因为设置切换未必能删除或完全禁用易受攻击的解析器。
对于用户而言，真正的解决方案是获取来自 ISP 或路由器制造商的固件更新。租用网关设备的用户需咨询提供商，确认其固件是否仍包含 Broadcom 遗留的 WPS 代码。
凯瑟认为，人工智能工具将漏洞利用的开发时间从数月缩短至不到一周，媒体报道称其使用了 OpenAI 的 Codex 代理。鉴于攻击者拥有相同的技术手段，且这种难以监控的无线接入方式非常适合定向行动，凯瑟举例称，如俄罗斯 APT28 组织可能通过邻国组织的 Wi-Fi 接入目标网络。
Broadcom 芯片也曾是 2020 年 Kr00k Wi-Fi 漏洞的核心，不过设备制造商随后已发布相应的 CVE 编号和补丁。正如 FBI 在 2025 年 5 月所警告的那样，不受支持的路由器往往沦为被他人利用的基础设施。
凯瑟调侃道，这个存在 16 年的漏洞如今已经足够成熟到可以在比利时酒吧点酒。目前，Broadcom 认为相关代码已退役，但承载该代码的基础硬件仍在数千个家庭和商业场所中运行。
