- 少なくとも2010年にさかのぼるBroadcomのWPSの欠陥により、Wi-Fiの電波が届く範囲にいる攻撃者が、パスワードなしでルーター上でコードを実行可能
- Broadcomは研究者に対し、2018年にコードを置き換えたと説明したが、ソフトウェアは旧式だとしてCVEの割り当てを拒否
- Wi-Fiパスワードを変更しても効果はなく、WPSを無効にしても防げない可能性あり。対策はファームウェア更新か機器の交換
少なくとも2010年にさかのぼるBroadcomのWi-Fiソフトウェアの欠陥により、電波の届く範囲にいれば誰でも、脆弱なルーターをパスワードなしで乗っ取れることが分かりました。Broadcomは数年前に修正を出荷したと説明していますが、その修正は、必要とする多くのルーターには届いていません。
セキュリティ研究者のQuentin Kaiser氏は、先日開かれたHexaconでこのバグを発表し、あわせて詳細な解説記事を公開しました。同氏はこの欠陥を「WPSplinter」と命名しましたが、この名前は自分でも気に入っていないと認めています。CVEが割り当てられていないため、この名前が唯一の呼称です。
バグが存在するのは、BroadcomのレガシーなWPS Monitorです。これは、多くの家庭用ルーターに搭載されているプッシュボタン式のペアリング機能、Wi-Fi Protected Setup（WPS）を処理するコンポーネントです。WPSメッセージが断片化されて届いた場合、このソフトウェアは、再構成した結果が確保済みのメモリに収まるかを確認せずに断片をつなぎ合わせてしまいます。
パスワードもペアリングも不要
Kaiser氏の公開ドキュメントによると、攻撃者はペアリングが完了する前に、無線経由でこのコードに到達できます。そのため、PINもボタン操作もネットワークキーも必要ありません。つまり、電波の届く範囲にいる人なら誰でも、ルーターのメモリを読み取り、コードを実行できます。2010年代初頭に見られたWPSのPINをブルートフォースで破る攻撃とは異なり、弱点はプロトコル自体ではなく、Broadcomのコードにあります。
Kaiser氏のコードは、Orange Belgiumが提供するAskey製ゲートウェイ「TCG3000」では、ルーターのストレージからWi-Fiパスワードを取り出し、無線経由で送信しました。同氏はそのパスワードを使ってネットワークに接続しています。Sagemcom製のProximus「BBOX3V+」では、すべてWi-Fiフレーム上で動作するリモートシェルを開くことに成功しました。同氏によると、この攻撃は遠距離でも成立するということですが、具体的な距離は公表していません。同氏は「道路の向かい側からでもrootシェルを取れる」と述べており、ベルギーで使われているルーターのかなりの割合が対象になるとしています。
Kaiser氏は2026年7月にこの欠陥をBroadcomに報告し、90日間の開示期限が始まりました。7月28日、Broadcomはパッチが利用可能だと回答し、影響を受けるメーカーに連絡するよう同氏に伝えました。Kaiser氏によると、Broadcomはさらに、このバグを2018年から把握していたこと、他者からも報告を受けていたこと、そして以降はWPS Monitorをオープンソースのhostapdに置き換えてきたことも説明したといいます。
Broadcomの公式見解は、数年前に修正済みだというものです。問題は、その修正の中身にあります。Kaiser氏は、旧コードに対する2018年のパッチは不完全で、しかも公表されないまま出荷されたと指摘しています。Broadcomの本当の対応策は、脆弱なコンポーネントそのものを廃止した新しいソフトウェアキットでした。ただし、機器メーカーが移行しなければ効果はありません。
Broadcomの旧型eCosベースのチップ（BCM3380、BCM3383、BCM33834）には移行手段がありません。Kaiser氏はこれを、永遠に修正されない欠陥を意味する「フォーエバーデイ」と呼んでいます。LinuxベースのBCM3390、BCM63xx、BCM65xx、BCM68xxのハードウェアは修正可能です。ただし、各メーカーが移植作業を行うことが条件で、サポート終了から何年も経った製品も含まれます。Broadcomは公式なアドバイザリを一切出しておらず、同社の立場は、Kaiser氏が明かしたやり取りの内容から知られるのみです。
Broadcomはまた、CVEの申請も拒否しました。Kaiser氏には、このソフトウェアは旧式でサポート期間外だと伝えたといいます。さらに、メーカーに送ったとされる通知の共有も拒否しました。Broadcom自身がCVE採番機関（CNA）であるため、自社製品の欠陥に識別子を付与するかどうかを事実上自ら決められる立場にあります。
この攻撃はログインよりも前の段階で行われるため、Wi-Fiパスワードを変更しても意味がありません。ルーターの設定でWPSをオフにしても効果がない可能性があります。Kaiser氏のドキュメントは「設定のトグルでは、脆弱なパーサーが削除または完全に無効化されない場合がある」と警告しています。例外となりそうなのは、ISPがWPSを一括して無効化するケースですが、実際に対応する事業者がどれだけあるかは不明です。
それ以外のユーザーにとって、本当の対策はISPやルーターメーカーからのファームウェア更新です。旧型のeCosベースの機器であれば、買い替えるしかありません。ゲートウェイをレンタルしている利用者は、そのファームウェアにBroadcomのレガシーWPSコードが残っていないか、事業者に確認する必要があります。
Kaiser氏は、AIのおかげで作業期間が数カ月から1週間未満に短縮されたと述べています。Cybernewsは、同氏がOpenAIのCodexエージェントを使ったと報じています。これは諸刃の剣です。攻撃者も同じツールを使えるからです。Kaiser氏は、監視が難しい無線経由のアクセスは標的型作戦に最適だと主張します。例としては、ロシアのAPT28が隣接する組織のWi-Fi経由で標的に到達した事例や、Midnight BlizzardがホテルのWi-Fiログインポータルを乗っ取り、旅行者にマルウェアを感染させた事例が挙げられます。
Broadcomのチップは、2020年のWi-Fiの欠陥「Kr00k」でも中心にありました。ただし、こちらはその後、機器メーカーがCVEを発行し、パッチも提供しています。サポートが終了したルーターは、他人のインフラに転用されがちです。2025年5月にFBIが警告したとおりです。
Kaiser氏は、16歳になったこのバグはもうベルギーのバーでビールを注文できる年齢だと冗談を飛ばしました。Broadcomは現在、このコードを引退済みとみなしています。しかし、基盤となるハードウェアは、現在も数千世帯の家庭や商業施設で稼働し続けています。
