استعرض الباحث Quentin Kaiser في مؤتمر Hexacon بباريس بتاريخ 16 أكتوبر 2026 تفاصيل ثغرة أمنية في شيفرة الشبكات اللاسلكية المعتمدة من شركة Broadcom، تتيح للمهاجمين تنفيذ أوامر برمجية داخل أجهزة التوجيه عن بعد وتجاوز متطلبات المصادقة ومعرفة مفتاح الشبكة. وتستهدف الثغرة الأجهزة العاملة بأنظمة eCos وLinux عبر تطبيق معيار 802.11، في حين رفضت الشركة المطورة، وفق ما ذكره الباحث في مدونته، تسجيل الخلل برقم تعريف رسمي، وبقيت الأجهزة المختبرة تفتقر إلى أي تحديثات أمنية حتى 15 أكتوبر.
يتركز الخلل البرمجي في شيفرة إعادة تجميع رسائل EAP المرتبطة بخاصية WPS. وتشير تحليلات الباحث المستندة إلى ملفات مصدرية منشورة في مستودع طرف ثالث إلى وجود هذا القصور في حزم Broadcom منذ عام 2010 على الأقل. ويحدث الهجوم عبر مدى الشبكة اللاسلكية وبمسافات طويلة، ويتيح إطلاق الاستغلال وبدء الهجوم قبل إتمام عملية التسجيل الاعتيادية لبروتوكول WPS. وأصدرت الشركة المنتجة معالجة برمجية غير مكتملة بصمت خلال عام 2018، وبقيت الثغرة قابلة للاستغلال.
أثبت الباحث نجاح الهجوم عمًيًا على أجهزة توجيه تابعة لمزودي الخدمة، حيث تمكن من استخراج مفتاح الشبكة المخزن في الذاكرة عبر إطارات 802.11 من جهاز ASKEY TCG3000 التابع لشركة Orange Belgium، ونجح في فتح واجهة عكسية للتحكم بجهاز BBOX 3V+ التابع لشركة Proximus.
وتشمل قائمة الشرائح المتأثرة معالجات BCM3380 وBCM3383 وBCM33834 العاملة بنظام eCos، وشرائح BCM3390 وBCM65xx وBCM68xx العاملة بنظام Linux، إلى جانب تأكيد تأثر معالجات ARM وMIPS.
وتظهر التقديرات المستندة إلى حسابات الباحث وجود نحو 850 ألف جهاز متأثر لدى Proximus، و500 ألف جهاز ضمن شبكة VOO القديمة، و210 آلاف جهاز تابع لشركة Orange Belgium. وتشير البيانات إلى احتمالية تأثر شركة Telenet عبر أجهزة Sagemcom F@st، ويشمل الخطر عشرات المصنعين ومئات المنتجات اللاسلكية.
أبلغ الباحث شركة Broadcom بالقصور الأمني في منصات eCos بتاريخ 18 يوليو، وأتبعها ببلاغ يخص منصات Linux في 27 يوليو. وأفادت الشركة في 28 يوليو بتوفر إصلاح برمجي موجهة الباحث للتواصل مع الشركات المصنعة، ثم امتنعت في 29 يوليو عن إصدار معرف CVE رسمي أو توجيه إشعار مباشر للمصنعين، مكتفية بالتوصية بالانتقال إلى برمجية hostapd كبديل لتطبيقها الخاص. وفتح فريق CERT/CC قضية في 4 أغسطس ثم أغلقها في اليوم ذاته استناداً إلى امتلاك Broadcom صلاحية إصدار معرفات CVE.
وتزامنا مع ذلك، أرسل الباحث تقارير إلى شركة Proximus ومركز الأمن السيبراني البلجيكي في 29 يوليو، وحاول التواصل مع Orange Belgium وVOO، محدداً 16 أكتوبر موعداً نهائياً لمهلة الإفصاح الممتدة لتسعين يوماً. ونشر الباحث أداة فحص وقاعدة YARA على منصة GitHub لتحديد الأجهزة المعرضة للخطر. وحتى 18 أكتوبر، غابت أي بيانات رسمية من Broadcom أو مزودي الخدمة البلجيكيين، وانحصرت تفاصيل الاستجابة في تقرير الباحث فقط.
