WPSplinter: luka w WPS routerów z Broadcomem. Co zrobić

Część routerów z oprogramowaniem Wi-Fi firmy Broadcom da się przejąć przez Wi-Fi bez znajomości hasła do sieci, a samo wyłączenie WPS w ustawieniach może przed tym nie chronić. Tak twierdzi belgijski badacz Quentin Kaiser, który 16 października 2026 roku pokazał ten błąd na konferencji Hexacon w Paryżu i nazwał go WPSplinter. Na jego liście są m.in. routery TP-Link Archer, które mają polskie strony wsparcia producenta, oraz światłowodowe terminale Nokia G-240W. Broadcom odmówił nadania luce numeru CVE, więc nie znajdziesz jej w zwykłych bazach podatności. Poniżej tabela modeli ze stanem na 19 października, sposób sprawdzenia własnego routera i lista rzeczy, które realnie możesz zrobić.

Czym jest WPSplinter i kogo dotyczy

WPSplinter to błąd w starszej, zastrzeżonej implementacji WPS od Broadcomu, którą firma nazywa WPS Monitor. Według strony badacza program nie pilnuje, żeby składane z kawałków komunikaty WPS zmieściły się w przeznaczonym dla nich miejscu w pamięci. Napastnik w zasięgu sieci może wysłać takie komunikaty bez znajomości hasła do sieci i zanim zakończy się zwykłe parowanie przez WPS. Skutkiem jest odczyt fragmentów pamięci i uruchomienie na routerze dowolnego kodu.

Broadcom produkuje układy i oprogramowanie, a routery składają z nich inni producenci: TP-Link, Nokia, Netgear, Cisco czy Sagemcom. Dlatego poprawka musi przejść drogę od Broadcomu przez producenta urządzenia do operatora albo właściciela routera. Badacz wymienia platformy eCos (BCM3380, BCM3383, BCM33834) i linuksowe (BCM3390, BCM65xx, BCM68xx). Strona z pytaniami i odpowiedziami dodaje rodzinę BCM63xx. Ten sam dokument zastrzega, że sam układ Broadcomu nie przesądza, czy konkretne oprogramowanie jest podatne.

W filmie z routerem Orange Belgium kod uruchomiony przez lukę odczytał z pamięci hasło Wi-Fi i odesłał je napastnikowi. Ten dołączył potem do sieci. Na blogu badacza jest też zdanie, że w ten sposób można przejąć router “z drugiej strony ulicy”. Atak wymaga więc zasięgu radiowego, ale nie wymaga wejścia do mieszkania.

Pierwsza Misja AI · Kodożercy

Pierwszy raz z AI? Zaczynasz od zera.

Pierwsza Misja AI to kurs dla osób bez technicznego przygotowania. Nie musisz pisać kodu ani znać żargonu. Dowiesz się, jak działa AI, jak promptować i jak korzystać z niej w pracy.

Wejdź na pokład →

Broadcom zna błąd od 2018 roku i odmówił numeru CVE

Według badacza błąd siedzi w zestawie narzędzi Broadcomu dla producentów co najmniej od 2010 roku. W 2018 roku Broadcom po cichu wydał niepełną poprawkę i zalecił przejście na otwarte oprogramowanie hostapd. Kaiser nazywa przez to błąd na platformach eCos “wiecznie niezałatanym”. Na stronie badacza czytamy, że starsze urządzenia na eCos mogą nie mieć żadnej drogi do poprawki. Na platformach linuksowych wszystko zależy od tego, czy producent routera zechce zmienić oprogramowanie.

Kaiser zgłosił błąd do zespołu bezpieczeństwa Broadcomu 18 i 27 lipca 2026 roku. Dzień po drugim zgłoszeniu Broadcom odpisał, że łatka istnieje, a producentów podatnych urządzeń trzeba odesłać do Broadcomu. 29 lipca firma odmówiła nadania numeru CVE i pokazania powiadomienia, które wysłała producentom. Według strony badacza Broadcom uznał to oprogramowanie za przestarzałe i wykraczające poza okres wsparcia. 4 sierpnia sprawę zamknął amerykański CERT/CC, tego samego dnia, bo Broadcom sam nadaje numery CVE i nie chciał tego zrobić.

Badacz odczekał 90 dni od pierwszego zgłoszenia. Według niego 15 października żadne z podatnych urządzeń, które wskazał u trzech z czterech belgijskich operatorów (Proximus, VOO i Orange Belgium), nie miało poprawki. Jego szacunek dla samej Belgii to ok. 850 tys. routerów Proximusa, 500 tys. VOO i 210 tys. Orange Belgium. Sam ocenia te liczby jako przybliżone i dodaje, że problem nie ogranicza się do Belgii, bo producenci tych urządzeń sprzedają je na wielu rynkach. Do chwili publikacji nie znaleźliśmy komunikatu o tej luce na stronach bezpieczeństwa Broadcomu, TP-Linka ani Nokii. Nie ma też doniesień, żeby ktoś wykorzystywał tę lukę w atakach.

Lista routerów podatnych na WPSplinter (stan na 19.10.2026)

Tabela pochodzi z repozytorium badacza na GitHubie. Stan z 19 października 2026 roku, godz. 14:20 czasu polskiego, po ostatniej zmianie z 14:11, która dopisała terminal Sercomm od Vodafone i Lowi. Kolumna “Potwierdzone” oddaje wpis z kolumny Confirmed, a “Operatorzy” mówi, kto dany model wdraża. Nie oznacza, że urządzenia tego operatora są dziś podatne albo niezałatane.

Lista się zmienia. 19 października o 8:39 czasu polskiego badacz usunął z niej terminal Nokia G-2426G-A, bo nie potwierdził, jaki układ ma to urządzenie. Strona badacza w chwili odczytu nadal go wymieniała, razem z modemami Technicolor TC7210 i CGA4233 od VOO, których w repozytorium nie ma. Przy Huaweiu B310, B315, B593 i WS880 strona pisze “na liście, zweryfikuj oprogramowanie”, więc tych modeli nie traktujemy jako potwierdzonych.

Inea, operator z Wielkopolski, jest jednym z 23 operatorów wpisanych przy terminalach Nokia G-140W-H i G-240W. Ta kolumna mówi, kto wdraża model. Nie wynika z niej, że urządzenia Inei są podatne albo niezałatane, bo podatność zależy od wersji oprogramowania. W samym README jest też ostrzeżenie: “Ta lista nie jest wyczerpująca. Możesz być podatny, nawet jeśli twojego urządzenia na niej nie ma”.

Jak sprawdzić model i oprogramowanie swojego routera

Model routera sprawdzisz na naklejce na obudowie, a wersję oprogramowania w panelu administracyjnym routera. Do panelu wchodzi się przez przeglądarkę, zwykle pod adresem bramy domyślnej, czyli najczęściej 192.168.0.1 albo 192.168.1.1. Jak go znaleźć w Windows, macOS i na telefonie, opisujemy w tekście o tym, jak sprawdzić adres IP. Login i hasło do panelu są zwykle na tej samej naklejce.

Porównaj model z tabelą. Przy routerze kupionym samodzielnie sprawdź na stronie producenta, czy po 16 października pojawiło się nowe oprogramowanie. Na polskich stronach pobierania TP-Linka najnowsze oprogramowanie dla Archer VR600 V3 pochodzi z 4 listopada 2024 roku, a dla Archer C5400 V2 z 15 września 2023 roku (odczyt 19.10.2026). Dla Archer VR2800 najnowsza wersja jest z 2017 roku. Przy routerze od operatora, np. terminalu światłowodowym Nokii, oprogramowanie aktualizuje zwykle operator i to jego trzeba zapytać.

Badacz udostępnił też skrypt, który rozpoznaje podatną implementację przez Wi-Fi, i reguły do analizy plików oprogramowania. Skrypt wymaga karty sieciowej w trybie monitorowania i Linuksa, więc to narzędzie dla administratorów, nie dla przeciętnego domu.

Czy wyłączenie WPS chroni przed WPSplinter?

Wyłączenie WPS w ustawieniach routera nie daje pewnej ochrony. Na swojej stronie badacz odpowiada na to pytanie wprost: “Nie zakładaj tego. Przełącznik w ustawieniach może nie usuwać ani nie wyłączać całkowicie podatnego parsera. Zapytaj producenta urządzenia albo operatora, czy aktualizacja oprogramowania usuwa właśnie ten problem”.

19 października do README trafiło też zdanie, że urządzenie, które nie ogłasza WPS w sieci, nie jest podatne. Router, który po wyłączeniu WPS przestaje go ogłaszać, jest więc w lepszej sytuacji. Bez specjalnej karty sieciowej i skryptu badacza nie sprawdzisz jednak, czy przełącznik w twoim modelu naprawdę wyłącza podatny kod. Jeśli nie używasz WPS, wyłącz go i potraktuj to jako dodatek do aktualizacji, a nie zamiast niej.

Co zrobić, jeśli twój router jest na liście

Najważniejsza jest aktualizacja oprogramowania od producenta albo operatora, która usuwa właśnie ten błąd. Kolejność działań:

1. Zapisz model i wersję oprogramowania z naklejki i panelu routera.
2. Router kupiony samodzielnie: sprawdź stronę pobierania producenta i zainstaluj najnowsze oprogramowanie. Jeśli nowego nie ma, zapytaj wsparcie producenta, czy wersja usuwa ten błąd.
3. Router od operatora: zadzwoń albo napisz do operatora i zapytaj, czy twój model jest podatny na błąd w WPS Broadcomu ujawniony 16.10.2026 i kiedy dostaniesz aktualizację.
4. Wyłącz WPS w panelu routera, wiedząc, że to może nie wystarczyć.
5. Stary modem albo router bez wsparcia wymień. Według badacza starsze urządzenia na platformie eCos mogą nie mieć żadnej drogi do poprawki. Router operatora wymienia operator.
6. Po wymianie albo aktualizacji zmień hasło do Wi-Fi, jeśli router mógł być wcześniej wystawiony na atak. Jak to zrobić, piszemy w poradniku o tym, jak sprawdzić i zmienić hasło do Wi-Fi.

Router to mały komputer, który ktoś musi aktualizować. Zaniedbane routery bywają przejmowane hurtowo, jak w sprawie chińskiego botnetu na cudzych routerach wyłączonego przez FBI.

WPS: co to jest i czy go wyłączać

WPS (Wi-Fi Protected Setup) to funkcja routera, która pozwala podłączyć urządzenie do Wi-Fi bez wpisywania hasła, przyciskiem na routerze albo krótkim kodem PIN. Przycisk WPS na routerze zwykle jest na obudowie, często z symbolem dwóch strzałek. Funkcja powstała dla wygody, np. przy podłączaniu drukarki czy wzmacniacza sygnału.

Ministerstwo Cyfryzacji w poradniku o domowym Wi-Fi zaleca wyłączenie WPS. Uzasadnia to tym, że funkcja pozwala podłączyć się do sieci bez hasła, wystarczy PIN albo naciśnięcie przycisku. Kod PIN ma też znaną od 2011 roku słabość projektową. Według amerykańskiego CERT/CC router zdradza, czy pierwsza połowa ośmiocyfrowego PIN-u jest poprawna, więc zamiast 100 mln prób wystarcza ok. 11 tys.

Jeśli nie używasz WPS, wyłącz go w ustawieniach sieci bezprzewodowej w panelu routera. Gdy potrzebujesz podłączyć urządzenie bez klawiatury, włącz go na chwilę i wyłącz po podłączeniu. Przy błędzie Broadcomu samo wyłączenie może nie wystarczyć, o czym wyżej.

FAQ

Czy luka WPSplinter jest wykorzystywana w atakach?

Nie ma doniesień o atakach z jej użyciem. Badacz pokazał działające przejęcie routerów w Belgii na własnych demonstracjach, a pełny opis techniczny jest publiczny od 16 października 2026 roku. Właśnie dlatego aktualizacji nie warto odkładać.

Mojego routera nie ma na liście. Czy jestem bezpieczny?

Brak na liście nie oznacza bezpieczeństwa. README zastrzega, że lista nie jest wyczerpująca, a badacz spodziewa się tysięcy podatnych modeli. Jeśli twój router ma układ Broadcomu i WPS, zapytaj producenta albo operatora o aktualizację.

Podsumowanie

WPSplinter to błąd w starym oprogramowaniu WPS Broadcomu, który według badacza Quentina Kaisera pozwala przejąć router przez Wi-Fi bez hasła do sieci. Broadcom zna problem od 2018 roku, wydał niepełną poprawkę i odmówił nadania numeru CVE. Na liście z 19 października są m.in. routery TP-Link Archer, terminale Nokia G-240W, urządzenia Cisco i Netgeara. Huawei B310 i B315 czekają na weryfikację. Lista jest niepełna i zmienia się z dnia na dzień. Wyłączenie WPS nie daje pewnej ochrony, więc sprawdź model i wersję oprogramowania, zainstaluj aktualizację albo zapytaj o nią operatora. Stare urządzenie bez wsparcia wymień. Do chwili publikacji nie znaleźliśmy publicznego komunikatu Broadcomu, TP-Linka ani Nokii w tej sprawie.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.