Falha no WiFi da Broadcom afeta milhões de roteadores

O que aconteceu

O pesquisador de segurança Quentin Kaiser apresentou em 16 de outubro de 2026, na conferência Hexacon, em Paris, a versão longa de um estudo sobre uma falha na implementação proprietária do 802.11 da Broadcom. O título da palestra, "One parser, two bugs, many routers", resume o escopo do trabalho. A vulnerabilidade está no SDK da fabricante desde pelo menos 2010 e pode ser disparada remotamente por WiFi, sem que o atacante conheça a chave da rede ou conclua um processo normal de WPS.

A exploração oferece duas capacidades: divulgação controlada de informação e execução arbitrária de código. Em uma das demonstrações, Kaiser atacou um CPE da Orange Belgium, o ASKEY TCG3000, obteve execução remota de código sem autenticação e executou shellcode que buscou a PSK na NVRAM e a enviou de volta ao atacante por 802.11. Em seguida, usou a chave vazada para entrar na rede e comprovar que o alvo continuava estável e que a senha era correta. A segunda demo usou um BBOX3V+ da Proximus, também identificado como Sagemcom F@st.

Kaiser alerta que a proximidade da antena nos vídeos não deve enganar. Segundo ele, o ataque funciona a longas distâncias.

Contexto

A Broadcom lançou um patch incompleto em 2018, de forma silenciosa, e na sequência recomendou a migração para o hostapd. A correção parcial deixou dois cenários. Em plataformas baseadas em eCos, como BCM3380, BCM3383 e BCM33834, a falha é definitiva, um forever day, porque não existe caminho de atualização. Em plataformas Linux, como BCM3390, BCM65xx e BCM68xx, o problema pode se tornar permanente caso os fabricantes de equipamento original, os OEMs, não migrem.

De acordo com a resposta da própria Broadcom, a empresa sabia do bug desde 2018 e recebeu informações sobre ele de outras entidades externas. Ainda assim, recusou atribuir um CVE à vulnerabilidade e não se comunicou publicamente sobre o assunto. Kaiser relaciona essa ausência de CVE à falta de patch por parte de muitos OEMs.

Por que importa

O alcance estimado é de dezenas de fabricantes, centenas de produtos e milhões de pontos de acesso baseados em Broadcom no mundo. O pesquisador demonstrou a falha em 3 das 4 operadoras belgas de internet. Na Proximus, o aparelho afetado é o BBOX 3V+. Na VOO, a lista inclui Netgear CG3100, Netgear CG3700, Technicolor 7210 e CGA4233. Na Orange, o ASKEY TCG3000. A Telenet pode ser afetada por meio de dispositivos Sagemcom F@st, mas Kaiser não conseguiu obter uma unidade para testar.

Em 15 de outubro de 2026, nenhum desses dispositivos afetados havia sido corrigido. O pesquisador escreveu que é possível obter um shell de root do outro lado da rua em uma proporção significativa dos roteadores da Bélgica, e provavelmente em outros países.

Impacto

O ataque dispensa o conhecimento da chave da rede, o que remove a principal barreira prática para invasões de WiFi doméstico e corporativo. Como o problema está no parser do 802.11, a superfície de exposição é o próprio ar, e não uma interface administrativa mal configurada. Operadoras que distribuem CPEs e OEMs que vendem roteadores com o SDK da Broadcom herdam o risco sem ter participado do desenvolvimento do código.

A ausência de CVE tem efeito concreto. Inventários de ativos, scanners de vulnerabilidade e processos de gestão de patches se orientam por identificadores públicos. Sem CVE e sem comunicado da Broadcom, muitos fabricantes não incluíram o problema em suas rotinas de correção, o que ajuda a explicar o quadro encontrado na Bélgica em outubro de 2026.

O que vem agora

Kaiser publicou um script de fingerprint e uma regra YARA para que outros pesquisadores ajudem a documentar o alcance real da falha. O objetivo é identificar todos os fornecedores e dispositivos afetados. Não há prazo divulgado para correção, e a Broadcom não se manifestou publicamente sobre o caso.

A saída técnica indicada pela própria Broadcom é a migração para o hostapd. A medida depende dos OEMs e das operadoras, que precisam decidir se atualizam o firmware dos aparelhos já instalados ou substituem os equipamentos. Nos modelos baseados em eCos, essa migração não existe como caminho de software, o que mantém a falha aberta enquanto os dispositivos continuarem em operação.

Fontes

• Quentin Kaiser, "One parser, two bugs, many routers: Exploiting Broadcom WiFi across eCos, Linux" (quentinkaiser.be/security/2026/10/16/one-parser-two-bugs/)
• Hacker News, discussão do artigo (news.ycombinator.com/item?id=50122058)