Broadcomの旧WPS実装にWPSplinter、Wi-Fi経由の攻撃実証と影響機器の確認ポイント

セキュリティ研究者のQuentin Kaiser氏は2026年10月16日、Broadcom製の独自802.11実装に関する研究をパリのセキュリティカンファレンスHexaconでの講演に合わせて公開しました。「WPSplinter」と呼ばれる問題で、Wi-Fiの電波が届く位置から、ネットワークの暗号キーを知らなくても情報漏えいや任意コード実行に至る攻撃を実証しています。

研究者は、ベルギーの複数の通信事業者が提供するルーターで悪用可能性を確認し、10月15日時点で当該機器に修正が適用されていないと報告しています。利用者にとっては、自分のルーターの型番とファームウェアを確認し、メーカーや提供事業者へ修正状況を問い合わせることが最初の対応になります。

Wi-Fiの到達範囲から、通常の接続手続きなしで攻撃

研究者の技術報告では、BroadcomのSDKに含まれるWPS(Wi-Fi Protected Setup、接続設定を簡単にする機能)のEAP断片再構成処理の問題が説明されています。EAPは認証に使われる仕組みで、ここでは分割されたデータを組み立てる処理が攻撃対象になっています。

攻撃にはネットワークの暗号キーの知識も、通常のWPS登録の完了も不要とされています。公開されたデモでは、Askey TCG3000でコード実行後に保存されたPSK(事前共有キー)を取得し、そのキーでネットワークへ接続しています。別のBBOX3V+のデモでは、802.11フレームを使ったシェル操作を示しています。

攻撃者はWi-Fiの電波が届く範囲にいる必要があります。また、これらは研究者による実証であり、今回確認した一次資料には、実際の攻撃活動での悪用確認は記載されていません。

悪用可能性を確認した機種と、調査が必要な範囲

研究報告はeCos系とLinux系の実装を取り上げており、前者ではBCM3380 / BCM3383 / BCM33834、後者ではBCM3390 / BCM65xx / BCM68xxを挙げています。研究者の一般向け解説ではBCM63xxも挙げられています。通信事業者の機器で実際に悪用可能性を確認した例は次のとおりです。

報告中のTelenetのSagemcom製機器は、研究者が入手できず未確認とされています。一方で、Broadcom製チップを使う製品がすべて影響を受けるとは限りません。

研究者は公開後も、GitHubの機器一覧と検出資料で情報を整理しています。一覧にはCiscoのRV / WAPシリーズやTP-Link、ZTE、Nokiaなどの機種も載っています。ただし、研究者の一般向け解説では、掲載機種でも、すべてのハードウェア版・ファームウェア版が影響を受けるとは限らないとしています。一覧は非網羅的なため、記載がない機器も提供元へ確認してください。国内向け機器への影響は、今回確認した資料では確定できていません。

過去の修正と、製品への反映に隔たり

Kaiser氏によると、問題のある実装は少なくとも2010年から存在し、2018年の修正は不完全だったとされています。Broadcomはパッチがあると回答し、影響機器を見つけた場合は研究者からメーカーに連絡し、Broadcomへ問い合わせるよう伝えてほしいと案内したとされています。この回答だけでは、各メーカーが利用者向けの修正版を提供したことまでは確認できません。

研究者の一般向け解説によると、Broadcomは2018年からWPS Monitorをhostapdへ置き換えたと説明しています。研究者は、eCos系では修正の見込みがなく、Linux系でもメーカーがhostapdへ移行しない限り修正されない可能性があると指摘しています。

同氏の10月16日の報告では、CVE採番機関でもあるBroadcomがCVE登録を断り、CERT/CCへの相談も終了した経緯が説明されています。同解説によると、Broadcomは対象ソフトウェアが古くサポート期間外であることを理由に挙げています。番号の有無だけで影響を判断せず、WPSplinterという名称、製品型番、BroadcomのWPS実装を含めて問い合わせると、情報を照合しやすくなります。

利用者は型番・ファームウェア・提供元を照合する

通信事業者から貸与されたルーターでは、ファームウェアの配信や機器交換を事業者が管理している場合があります。まず機種名、ファームウェアバージョン、提供事業者を控え、WPSplinterへの対応状況と利用者側で必要な作業を確認してください。

更新が提供される場合は適用条件を確認し、修正の見込みがない機器は、交換や代替構成を提供元に相談してください。研究者のFAQでは、設定画面でWPSを無効にしても、脆弱な処理が取り除かれたり完全に止まったりするとは限らないと注意しています。無効化だけで対策済みとは考えないでください。

研究者の検出資料には、ファームウェア内の特徴を探すYARAルールなどが含まれます。ただし、公開READMEでも検出は調査の補助であり、コンパイラの違いや修正後も残るコード片などで判定が左右されると説明されています。検出結果だけで脆弱か修正済みかを判断せず、提供元の確認結果と照合する用途にとどめるのが適切です。

Wi-Fiの別の問題については、AirSnitchの記事でクライアント分離に関する攻撃条件を解説しています。

参考情報

• Quentin Kaiser: One Parser, Two Bugs, Many Routers
• WPSplinter: 研究者による一般向け解説・FAQ
• 研究者のBroadcom 802.11 SDK検出資料・機器一覧

本記事は2026年10月19日時点で確認できた情報に基づきます。研究者が未修正と報告した時点は2026年10月15日です。