Am 16. Oktober 2026 stellte der Sicherheitsforscher Quentin Kaiser eine Schwachstelle in Broadcoms proprietärer WLAN-Implementierung von Wi-Fi Protected Setup (WPS) vor. Laut Kaisers Bericht können speziell präparierte, fragmentierte WPS-Nachrichten Speicherfehler auslösen und so über WLAN-Funk Informationen offenlegen oder die Ausführung von Code ermöglichen. Dafür seien weder der WLAN-Schlüssel noch ein abgeschlossener regulärer WPS-Verbindungsaufbau nötig.
Was die WPS-Schwachstelle ermöglicht
Der Fehler betrifft laut Kaiser die Verarbeitung und Zusammensetzung fragmentierter WPS-EAP-Nachrichten. Dabei kann Speicher beschädigt werden. Kaiser berichtet, dass sich das für eine kontrollierte Offenlegung von Informationen oder zur Ausführung beliebigen Codes ausnutzen lässt. Die beschriebenen Angriffe erfolgen über WLAN-Funk.
Zwei Demonstrationen an unterschiedlichen Gateways
Kaiser beschreibt zwei Vorführungen an belgischen Geräten, mit unterschiedlichen Ergebnissen:
- Beim ASKEY TCG3000 von Orange Belgium wurde der gespeicherte WLAN-Schlüssel wiederhergestellt und anschließend für eine Verbindung mit dem Netzwerk genutzt. PSK steht für „Pre-Shared Key“, also den vorab vereinbarten WLAN-Schlüssel.
- Beim BBOX3V+ von Proximus führte die Demonstration zu einer Reverse Shell über 802.11-Funkframes. Eine Shell ermöglicht die Ausführung von Befehlen auf dem Gerät.
Welche Routermodelle Kaiser nennt
Kaiser berichtet von ausnutzbaren Gateways bei drei belgischen Anbietern. Er nennt folgende Modelle:
- Proximus: BBOX 3 und BBOX3V+
- VOO: Netgear CG3100, Netgear CG3700, Technicolor TC7210 und CGA4233
- Orange Belgium: ASKEY TCG3000
Für die betroffenen Gateways schätzte Kaiser die Zahl bei Proximus auf 850.000, bei der älteren VOO-Geräteflotte auf rund 500.000 und bei Orange Belgium auf 210.000. Er bezeichnete diese Schätzungen als grobe Rechnung mit mittlerer Sicherheit. Für Telenet nannte er die Modelle F@ST3896LG und F@ST5685LGB; ein Gerät dieses Anbieters konnte er nicht testen.
Patch verfügbar, aber nicht auf den identifizierten Gateways
Kaiser zufolge teilte Broadcom ihm am 28. Juli 2026 mit, ein Patch sei verfügbar. Broadcom habe zugleich empfohlen, dass betroffene Gerätehersteller Kontakt aufnehmen. Kaiser meldete separat, dass die von ihm identifizierten Gateways am 15. Oktober noch ungepatcht waren. Die Verfügbarkeit eines Patches bei Broadcom bedeutete demnach nicht, dass ein Hersteller oder Internetanbieter das Update bereits auf diese Geräte verteilt hatte.
Kaiser führt den anfälligen Code mindestens auf das Jahr 2010 zurück. 2018 sei ein unvollständiger Patch erschienen. Am 19. Oktober 2026 berichtete The Hacker News, bis zu diesem Datum sei für die Schwachstelle keine CVE-Nummer vergeben worden.
Was die Chipfamilien für eine mögliche Behebung bedeuten
Kaiser unterscheidet zwei Gruppen von Broadcom-Chips und beschreibt unterschiedliche Aussichten für eine Behebung:
| Plattform | Chipfamilien | Von Kaiser beschriebene Aussicht auf eine Behebung |
| eCos | BCM3380, BCM3383, BCM33834 | Kaiser zufolge fand er für diese Plattformen keinen nutzbaren Fix. |
| Linux-basiert | BCM3390, BCM65xx, BCM68xx | Eine Behebung könnte laut Kaiser erfordern, dass Gerätehersteller auf eine andere WLAN-Software umsteigen. |
Was Prüfwerkzeuge leisten
Kaiser stellt eine YARA-Regel zur Prüfung von Firmware und ein Skript zur Erkennung von WLAN-Zugangspunkten bereit. Die Werkzeuge dienen der ersten Einschätzung: Ein Treffer belegt für sich genommen nicht, dass ein Gerät aktuell verwundbar ist, denn auch gepatchte Geräte können darauf reagieren.
