路由器里一段旧代码，可能让附近的人越过Wi-Fi密码

原创

tcode
tcode

字节脉搏实验室

2026年10月20日 11:27
北京

去阅读

路由器在房间里，Wi-Fi密码也没告诉外人，为什么附近的人仍可能碰到设备的管理权限？10月16日，安全研究员Quentin Kaiser在巴黎Hexacon会议公布一项名为WPSplinter的研究：博通Wi-Fi软件中的旧WPS代码没有正确处理分片重组，附近攻击者不需要知道网络密码，也不需要完成正常WPS配对，就能触达解析器并造成受控内存读取或代码执行。

研究证据来自两台具名设备。第一台是Orange Belgium提供的Askey TCG3000。演示中，攻击代码从路由器存储区读出Wi-Fi预共享密钥，通过802.11帧传回，再用这把密钥正常加入网络。第二台是Proximus使用的Sagemcom BBOX3V+，研究者取得反向shell，命令通道直接藏在Wi-Fi帧里，不需要依赖云端指挥服务器。两段演示都没有登录步骤，说明这不是“猜到后台密码”那类问题，而是无线协议处理代码在认证之前就暴露了攻击面。

这里必须把“研究环境”四个字放在前面。研究者明确说，没有观察到真实攻击者利用这组漏洞，目前公开的是他自己构造的演示。媒体转述里的“可读密码”“可拿最高权限”来自实验设备，不代表比利时街头已经发生了大规模入侵，更不代表任何国内型号已经被实际攻破。文章能做的是解释暴露条件，不能把可复现实验改写成现实战果。

问题不是刚写出来的新功能。研究者追溯到至少2010年的博通专有WPS实现，2018年曾有过一次不完整修补，之后博通建议客户迁移到另一套Wi-Fi软件。旧eCos平台上的BCM3380、BCM3383和BCM33834没有他认可的可用修复路径；Linux平台的BCM3390、BCM65xx和BCM68xx理论上能随设备商切换软件而修复，但最终取决于每款固件的维护者。换句话说，芯片型号能缩小范围，不能直接给出“这台已经中招”或“那台绝对安全”的答案。

为什么“无需Wi-Fi密码”会成立？常规认知把密码当成进入网络的第一道门，但WPS解析器工作在建立正式关联之前，攻击者可以与路由器的无线管理栈直接对话。分片消息本应被限制在目标缓冲区大小，代码却未正确约束重组后的长度，于是可造成内存越界。密码在这里保护的是加入网络之后的通信，漏洞却发生在认证流程尚未完成的位置。这个机制解释了演示为何能先读PSK再加入网络，也解释了为什么仅更换复杂Wi-Fi密码不能消除问题。

受影响名单也容易被误读。公开页面列出了数百款产品，涉及Arris、Askey、Cisco、Comtrend、Huawei、Netgear、Nokia、Sagemcom、Tenda、TP-Link、ZTE等品牌。有的条目经过设备实测，有的只依据固件或自动化指纹，证据强弱不同；同一型号的不同硬件版本还可能采用不同固件。名单的存在是排查起点，不是对所有设备的无条件判决。这个差别很重要，否则安全团队会把“品牌在名单里”误当成“每个版本都可利用”。

研究者对比利时三家运营商的受影响数量做过粗略估算：Proximus约85万台、VOO约50万台、Orange Belgium约21万台，简单相加约156万台，但这不是审计数字，也不能直接拿来推算全球规模。后三家的设备型号、部署批次和补丁状态不同；Telenet的潜在型号没有拿到实物确认；全球“数百万”同样只是基于覆盖面的估计。正文需要这些数字，是为了说明为何无线设备台账不能只写品牌，而不是制造“今晚必然被打”的确定感。

对家用读者，最危险的是把“关掉WPS”当作万能答案。研究页明确提示，设置里的开关不一定移除或完全停用这段脆弱解析器，不能仅凭WPS状态证明安全。更不能用“没有开启远程管理”来解释无关：攻击走的是近场无线链路，不需要先通过互联网登录路由器。无线电距离也不是必须贴着机器，研究者称在远距离仍可工作，但前提始终是存在可用的无线电路径。

家用与小型办公场景可以用两张不同的判断表。家里先看路由器是否为运营商赠送、使用多久、是否仍收得到安全更新；如果型号出现在公开清单里，而客服只能回答“已是最新版本”，就应继续追问具体修复项，必要时直接换一台能明确回应的设备。办公室则要先划分无线边界：访客网络与办公网络是否共用同一台脆弱网关，仓库、门店和远程办公点是否有长期没人登录的旧AP，网络监控是否能看见二层无线事件。家用的优先动作是替换；办公的优先动作是盘点和隔离，但两者都不应把关闭WPS当成已验证的止血措施。

小型企业可以按三层顺序核查。先盘点无线网关、AP和融合路由器的准确型号、芯片族、固件版本与部署位置，尤其别漏掉由运营商或集成商管理的设备。再向设备商确认三件事：该固件是否包含WPSplinter修复；修复是否真的替换了旧WPS Monitor；如果不再支持，官方建议的替换型号是什么。最后把无法确认的设备放到受控网络里，减少它们承载的敏感业务，并安排更换。只看“固件已到最新”不够，因为没有CVE时，厂商可能把问题直接写进内部发布记录。

检测也要换位置。普通网站访问日志看不到这层攻击，应把无线控制器、AP事件和现场嗅探留在一起查：是否出现异常频繁或畸形的WPS分片；设备是否在无人操作时重启、掉线或恢复默认设置；管理面是否出现陌生shell、进程或持久化项。单看一个告警不能定性，因为异常无线帧可能来自兼容性问题；但没有无线侧记录，也不能自信地说没发生。研究者提供的YARA规则和指纹脚本只适合初筛，命中后仍需核对具体固件，不能把工具输出当成确认结论。

如果团队决定做现场验证，应限定在自有设备和隔离环境中，记录测试机型号、硬件版本、固件哈希、无线信道和距离，并在测试前断开生产网络。只复现“界面显示漏洞”或运行厂商无关的扫描器，不能说明具体设备可被代码执行；同样，看到设备重启也不代表攻击成功，可能是兼容性、过热或固件升级。验证报告要把“代码存在”“网络可达”“利用成功”拆开，三个结论的证据门槛依次更高。

如果设备已经出现口令被改、陌生客户端长期在线、DNS或管理配置被改，处置顺序应是保留日志、断开无线接入并从可信网络管理设备、执行经厂商确认的固件恢复或更换，再重置Wi-Fi密钥和所有复用过的管理凭据。没有证据时，不建议仅靠一次恢复出厂就判定问题消失；没有日志时，也不建议把“我能正常上网”当作设备完整性证明。

这起研究还暴露了一个采购问题。漏洞没有CVE，不代表风险不存在，而是没有一个公共编号供资产平台统一筛选。企业如果只用CVE编号做资产匹配，会把这类“厂商不愿编号、设备商又不统一回应”的固件问题整批漏掉。无线设备台账至少要能记录型号、硬件版本、固件构建号和供应商维护状态，并在采购合同中要求安全更新与终止支持时间。没有这些字段，出事时只能靠拆机或截图确认。

边界仍然明确：这是研究演示，两台设备的成功不能推导出国内存在受害者，也不能推导所有同芯片路由器都能被同一载荷攻破。没有CVE是博通拒绝分配编号与支持状态共同造成的结果，不等于攻击不需要条件。真正的判断是三件事同时成立：具体固件含受影响实现，设备处在攻击者可达的无线电范围，设备商又拿不出已经修复的固件。满足这三点，路由器就不应继续被当作可信边界设备。

来源

Quentin Kaiser，《One Parser, Two Bugs, Many Routers: Exploiting Broadcom WiFi Across eCos and Linux》，2026-10-16，https://quentinkaiser.be/security/2026/10/16/one-parser-two-bugs/

WPSplinter公开说明与设备清单，研究演示于2026-10-16，https://qkaiser.github.io/broadcom-wps/

The Hacker News，Swati Khandelwal，《Unpatched Broadcom Wi-Fi Flaw Lets Attackers in Range Run Code as Root on Routers》，2026-10-19，https://thehackernews.com/2026/10/unpatched-broadcom-wi-fi-flaw-lets.html