WPSplinter: 16 Jahre alter Bug in Millionen Routern

Ein WLAN-Passwort mit 20 Zeichen und Sonderzeichen schützt einen Router nicht, wenn der WPS-Einrichtungscode darunter fehlerhaft ist. Bei Broadcoms proprietärer WPS-Implementierung ist genau das der Fall: Die als WPSplinter bezeichnete Schwachstelle erlaubt Angreifern in Funkreichweite, eigenen Code auf betroffenen Geräten auszuführen – ohne Netzsicherheitsschlüssel und ohne den WPS-Registrierungsvorgang abzuschließen. Vorgestellt hat sie der Sicherheitsforscher Quentin Kaiser auf der Hexacon in Paris. Bis zum 15. Oktober 2026 hatte keines der von ihm untersuchten Geräte einen Patch erhalten, eine CVE-Nummer gibt es bis heute nicht.

WPSplinter: Speicherfehler im Einrichtungscode

Die Schwachstelle besteht aus zwei Fehlern in Broadcoms proprietärer 802.11-Implementierung, die mindestens seit 2010 im SDK steckt. Beide sitzen im WPS-EAP-Reassemblierungscode, der den Einrichtungsvorgang der meisten Consumer-Router abwickelt. Wer dort präparierte WPS-Nachrichten einspeist, korrumpiert den Speicher des Routers – und bringt anschließend eigenen Code zur Ausführung.

Das Entscheidende daran: Der Angreifer muss kein Passwort kennen und keinen vollständigen WPS-Registrierungsvorgang durchlaufen. Es reicht die physische Nähe zum Funknetz.

Zwei Demos, zwei Wege ins Netz

Auf einem ASKEY TCG3000, wie ihn Orange Belgium ausliefert, las Kaisers Code den WLAN-Sicherheitsschlüssel aus dem NVRAM, übertrug ihn über WLAN zurück und meldete sich damit erfolgreich im Netz an. Auf einem Sagemcom F@st beziehungsweise BBOX3V+ von Proximus gelang unauthentifizierte Codeausführung, aus der er eine Reverse Shell über Wi-Fi-Frames aufbaute – ohne einen C2-Server im Internet. Der Angriff bleibt damit vollständig im Funkraum, was ihn für gezielte Vor-Ort-Szenarien interessant macht und für klassische Netzwerk-Monitoring-Ansätze unsichtbar.

Kein CVE, kein Patch: Broadcom lehnt ab

Die Disclosure-Timeline ist kurz und endet ohne Ergebnis: Meldung am 18. und 27. Juli, Antwort von Broadcom am 28. Juli, Verweigerung der CVE-Vergabe am 29. Juli und Abschluss des Falls durch CERT/CC am 4. August. Ohne CVE-ID gibt es keinen Standardweg, über den Hersteller, Scanner und Patch-Management-Systeme die Lücke gemeinsam nachverfolgen könnten.

Für einen Teil der Flotte ist das ohnehin akademisch: Für Geräte auf eCos-Basis gilt: „nicht patchbar" – und diese Einschränkung gilt ausschließlich für eCos-Geräte, nicht pauschal für jeden Broadcom-Router. Wer eine solche Box betreibt, wartet nicht auf ein Update, das nicht kommen wird.

Das Muster ist bekannt: Ein Fehler steckt jahrelang in einem Silizium-nahen SDK, das viele Hersteller als Blackbox einkaufen. Aufklärung wird zur Frage der Lieferkette – und die endet bei Providern, die Firmware für Hunderttausende Endgeräte verantworten.

Betroffene Router und die Lücke in den Zahlen

Die belgische Rechnung sieht so aus: rund 1,56 Millionen potenziell betroffene Geräte, davon etwa 850.000 bei Proximus, 500.000 bei VOO und 210.000 bei Orange Belgium. Das sind grobe Schätzungen Kaisers, keine Messung. Konservativer formuliert sind es mehr als 1,5 Millionen WLAN-Router.

Neben ASKEY und Sagemcom nennt Kaiser auch Netgear- und Technicolor-Modelle, die VOO einsetzt. Telenet-Geräte von Sagemcom könnten ebenfalls betroffen sein – verifizieren konnte er das nicht. Für Deutschland und die übrige EU liegen keine belastbaren Zahlen vor; sie sind schlicht unbekannt. Ergänzend gibt es Daten aus einem passiven War Driving in Paris, die eine breitere Streuung im Stadtgebiet nahelegen.

Was Nutzer realistisch tun können

Die übliche Empfehlung – WPS abschalten, starkes Passwort setzen – greift hier nur bedingt. Der Fehler sitzt unterhalb der Passwortebene im Einrichtungscode, nicht in der Schlüsselaushandlung. Ein offizieller Workaround ist in den vorliegenden Quellen nicht belegt; wer das Gegenteil behauptet, sollte ihn belegen können.

Konkret angekündigt sind ein Fingerprinting-Skript und YARA-Regeln, dazu ein bereits veröffentlichtes Detection-Skript, das ein Interface im Monitor-Modus voraussetzt. Solche Werkzeuge taugen zur Sichtbarkeit im eigenen Netz, nicht als Schutz – und sind nicht unabhängig geprüft.

Behördlich wird das Risiko vor allem für öffentliche Netze, Hotels und gezielte Überwachung gesehen. In solchen Umgebungen ist die Funkreichweite kein Hindernis, sondern die Eintrittskarte. Ausnutzung in freier Wildbahn ist in den vorliegenden Quellen nicht belegt.

Fazit

WPSplinter ist kein spektakulärer Exploit, sondern ein strukturelles Problem: ein 16 Jahre alter Fehler in einem breit eingekauften SDK, ohne CVE, ohne Patch und für eCos-Geräte ohne Perspektive. Für Betreiber heißt das, den Bestand zu inventarisieren statt auf ein Update zu hoffen – Modell, Chipsatz und Firmware-Historie gehören auf den Tisch. Bleibt ein Gerät ungepatcht und wird WPS nicht benötigt, ist das Abschalten der Funktion eine sinnvolle Reduktion der Angriffsfläche, auch wenn es die Ursache nicht beseitigt. Und wer öffentliche WLANs nutzt, sollte den Router dort nicht als vertrauenswürdig behandeln.

Quellen