Op 16 oktober 2026 maakte beveiligingsonderzoeker Quentin Kaiser melding van een fout in Broadcoms eigen wifi-implementatie van WPS (Wi-Fi Protected Setup). Volgens Kaiser kunnen speciaal samengestelde, gefragmenteerde WPS-berichten geheugenbeschadiging veroorzaken en via wifi informatie vrijgeven of het uitvoeren van willekeurige code mogelijk maken, zonder netwerksleutel of voltooide WPS-aanmelding. Kaisers onderzoek beschrijft twee demonstraties op Belgische providergateways.
Wat de twee demonstraties lieten zien
Op de ASKEY TCG3000 van Orange Belgium haalde Kaiser volgens zijn beschrijving de opgeslagen wifi-PSK terug, de vooraf gedeelde netwerksleutel, en gebruikte die om verbinding te maken met het netwerk. Op de BBOX3V+ van Proximus opende hij een reverse shell via 802.11-frames. Dat is een interactieve opdrachtregel op het apparaat. Het zijn afzonderlijke demonstraties op verschillende gateways.
De genoemde Belgische modellen
Kaiser rapporteert exploiteerbare gateways bij drie Belgische providers en noemt deze modellen:
- Proximus: BBOX 3 en BBOX3V+.
- VOO: Netgear CG3100, Netgear CG3700, Technicolor TC7210 en CGA4233.
- Orange Belgium: ASKEY TCG3000.
Voor Telenet noemt Kaiser de F@ST3896LG en F@ST5685LGB als modellen die nog bevestigd moesten worden; hij kon geen Telenet-apparaat testen.
Kaisers ruwe schatting komt uit op 850.000 gateways bij Proximus, ongeveer 500.000 in de oudere VOO-vloot en 210.000 bij Orange Belgium. Hij kwalificeert deze aantallen als schattingen met middelmatige betrouwbaarheid.
Twee chipfamilies, verschillende herstelmogelijkheden
De door Kaiser genoemde chips vallen in twee softwareplatforms. Voor de eCos-families zegt hij geen bruikbare oplossing te hebben gevonden. Herstel bij de genoemde Linux-families kan volgens hem vereisen dat apparaatfabrikanten overstappen op andere wifi-software.
| Chipplatform | Chipfamilies | Door Kaiser beschreven herstelmogelijkheid |
| eCos | BCM3380, BCM3383, BCM33834 | Kaiser zegt geen bruikbare oplossing te hebben gevonden. |
| Linux | BCM3390, BCM65xx, BCM68xx | Herstel kan een overstap naar andere wifi-software door de fabrikant vereisen. |
Patchmelding en status van de gateways
Kaiser traceert de kwetsbare code tot minstens 2010. Volgens hem bracht Broadcom in 2018 een onvolledige patch uit en adviseerde het daarna een overstap naar hostapd. Op 28 juli 2026 vertelde Broadcom Kaiser dat er een patch beschikbaar was; de gateways die hij had geïdentificeerd waren volgens hem op 15 oktober nog niet gepatcht.
Op 19 oktober meldde The Hacker News dat het geen CVE-nummer voor de kwetsbaarheid had gevonden. Het bericht dateert die waarneming op die dag.
Wat de controlehulpmiddelen kunnen aantonen
Kaiser publiceerde een YARA-regel voor firmware en een script om live accesspoints te fingerprinten. Die hulpmiddelen kunnen bij triage helpen, maar een match bewijst niet dat een apparaat op dat moment kwetsbaar is: ook gepatchte apparaten kunnen overeenkomen.
