Quentin Kaiser publiceerde op 23 oktober 2026 een reconstructie van Broadcoms WPS-patch uit 2018, maar kon die niet aan een exacte officiële SDK-release koppelen. Eventuele resterende kwetsbaarheid hangt volgens hem af van de firmwarebuild, de geheugenindeling en de gebruikte bibliotheek. Voor Nederlandse routerbezitters noemt zijn lijst de ZTE 368N, ook aangeduid als Experia Box v9, in verband met KPN.
Wat Kaisers reconstructie over de patch zegt
Kaiser baseerde zijn reconstructie op gelekte broncodefragmenten en tijdstempels. Hij schrijft dat de gereconstrueerde code geen authentieke Broadcom-repository is. Zijn analyse beschrijft mogelijke resterende kwetsbaarheid onder bepaalde buildvoorwaarden, afhankelijk van de gebruikte bibliotheek en geheugenindeling. De precieze firmware is daarom belangrijker dan alleen de naam van de chipset of routerfabrikant.
De Nederlandse routervermelding
Kaisers openbare WPSplinter-lijst koppelt de ZTE 368N, door de lijst aangeduid als Experia Box v9, aan KPN. Kaiser waarschuwt dat hardware- en firmwareversies binnen één model kunnen verschillen. De vermelding geldt dus voor de genoemde modelaanduiding, niet automatisch voor elke router van KPN.
Welke software de kwetsbaarheid raakt
De kwetsbaarheid zit volgens Kaiser in Broadcoms verouderde WPS Monitor-implementatie, in het deel dat gefragmenteerde EAP-WPS-berichten samenvoegt. WPS staat voor Wi-Fi Protected Setup. Een aanvaller binnen wifi-bereik kan die parser bereiken voordat een WPS-aanmelding is afgerond; een wifiwachtwoord is daarvoor niet nodig.
Kaiser beschreef twee fouten in de controle van fragmentlengtes. Op firmware met de kwetsbare component kunnen die leiden tot het uitlezen van geheugen en het uitvoeren van code op de router. Zijn demonstraties betroffen specifieke gateways: op een ASKEY TCG3000 haalde hij de wifi-sleutel uit het geheugen; op een Proximus BBOX3V+ opende hij een reverse shell. Ons eerdere artikel over de Belgische Broadcom-gateways behandelt die demonstraties uitgebreider.
Een Broadcom-chipset, de naam OpenWrt of een modelvermelding volstaat niet om de status van een router vast te stellen. De relevante vraag is of de specifieke firmware de kwetsbare WPS Monitor bevat.
De Belgische providerreacties van 20 oktober
In een update van 20 oktober 2026 meldde Kaiser dat Proximus WPS op zijn volledige BBOX-vloot had uitgeschakeld en van plan was de patching in de weken daarna af te ronden. Volgens Kaisers verslag hadden Telenet-engineers geen kwetsbaar wps_monitor-proces in hun vloot gevonden. Orange Belgium overwoog toen WPS op zijn getroffen infrastructuur uit te schakelen. Deze meldingen gaan over Belgische providers.
Wat je aan KPN kunt vragen
Kaisers documentatie waarschuwt dat je niet zomaar kunt aannemen dat de WPS-schakelaar in een routermenu ook de kwetsbare parser uitschakelt. Vraag KPN of de firmware van jouw specifieke ZTE 368N de Broadcom WPS Monitor-component bevat en of een update dit probleem aanpakt. Ook bij OpenWrt hangt de relevantie af van de exacte firmware en de componenten die daarin zitten.
