Die WPSplinter-Lücke erlaubt laut Forscher die Übernahme von Routern in Funkreichweite ohne WLAN-Passwort

Ja, in Funkreichweite wäre das möglich, aber bisher nur im Labor: Laut dem Forscher Quentin Kaiser lässt sich bei Geräten mit Broadcoms alter WPS-Monitor-Software ohne WLAN-Passwort Speicher beschädigen und Code ausführen. Angriffe in freier Wildbahn sind nicht berichtet. Zu WPS abschalten raten Kaiser und der belgische Provider Proximus, doch das ist keine Garantie, dass der verwundbare Dienst tatsächlich verschwindet. Betroffen sind nur Geräte, deren Firmware diese Komponente enthält; ein Broadcom-Chip allein belegt das nicht. Eine CVE-Nummer gibt es nicht.

Was WPSplinter ist und wen die Forscherliste nennt

WPS steht für Wi-Fi Protected Setup, eine Funktion, die das Koppeln von Geräten mit dem WLAN vereinfachen soll. Der Forscher Quentin Kaiser hat am 16. Oktober 2026 auf der Konferenz Hexacon und in seinem Blog zwei Fehler in Broadcoms proprietärer WPS-Implementierung beschrieben, intern „WPS Monitor“ genannt. Den Namen „WPSplinter“ hat Kaiser selbst vergeben; er ist keine offizielle Kennung.

Laut Kaiser steckt der Code mindestens seit 2010 im Software-Entwicklungspaket (SDK) von Broadcom. Ein unvollständiger Fix erschien 2018. Broadcom ersetzte die betroffenen Komponenten durch hostapd und empfahl Geräteherstellern den Umstieg auf die neue SDK-Version. Auf eCos-basierten Plattformen (Chips BCM3380, BCM3383, BCM33834) ist die Lücke damit ein „forever day“: ein Fehler, für den es nie einen Patch geben wird. Trockener formuliert: Das Problem ist bekannt, die Lösung existiert, nur kommt sie nicht an. Auf Linux-Plattformen (BCM3390, BCM63xx, BCM65xx, BCM68xx) sieht Kaiser ein mögliches „forever day“, falls Hersteller nicht migrieren.

Broadcom lehnte laut Kaiser eine CVE-Vergabe ab, weil die Software obsolet sei. Das erklärt, warum die Lücke in den üblichen Schwachstellenverzeichnissen fehlt. Bis zum 15. Oktober war nach Kaisers Angaben keines der von ihm gefundenen Geräte gepatcht.

Auf der Projektseite führt Kaiser eine Geräteliste, die ausdrücklich nicht abschließend ist. Darin stehen auch Modelle, die in Deutschland verbreitet sind oder waren: Askey Speedport W 723V Typ A, Huawei Speedport W 724V Typ A (auf der Liste als „Spedport“ geschrieben), Huawei Speedport Hybrid und Sercomm Speedport W 724V Typ C, jeweils mit der Deutschen Telekom als bekanntem Einsatz, sowie die Vodafone-Easybox 804. Beim Speedport W 724V Typ C vermerkt Kaiser „Version unbekannt; wahrscheinlich verwundbar“. Das bedeutet: Die Geräte sind gelistet, eine Ausnutzung in Deutschland ist nicht belegt. Welche deutschen Provider-Flotten darüber hinaus betroffen sind, ist offen.

Für Belgien schätzt Kaiser grob 850.000 Proximus-, 500.000 VOO- und 210.000 Orange-Geräte, zusammen etwa 1,56 Millionen, wie The Register berichtet. Der Forscher selbst nennt die Zahlen grobe Schätzungen.

Welche Voraussetzung ein Angriff braucht und was belegt ist

Ein Angreifer müsste sich in WLAN-Reichweite des Routers befinden. Ein Netzwerkschlüssel ist laut Kaiser nicht nötig, und auch eine abgeschlossene WPS-Anmeldung muss nicht stattfinden. Zweite Voraussetzung: Der verwundbare WPS-Monitor muss auf dem Gerät laufen und über Funk erreichbar sein. Aus dem Internet heraus, ohne Funknähe, beschreibt Kaiser keinen Angriffsweg.

Belegt ist, dass die Schwachstelle in Laborversuchen ausnutzbar war. Kaiser zeigte das nach eigenen Angaben bei drei von vier belgischen Providern: Proximus (BBOX 3V+), VOO (Netgear CG3100, CG3700, Technicolor 7210, CGA4233) und Orange Belgium (Askey TCG3000). The Register bestätigt diese Laborergebnisse. Die Folgen auf einem betroffenen Gerät hängen laut Projektseite von Produkt und Firmware ab: Genannt werden kontrollierte Speicherpreisgabe und beliebige Codeausführung.

Nicht belegt ist dagegen eine Ausnutzung außerhalb des Labors. Kaiser hat nach Angaben von The Register keine Hinweise auf Angriffe in freier Wildbahn gemeldet. Das heißt nicht, dass es keine gibt, aber es gibt keinen Beleg dafür. Die sinnvolle Einordnung lautet daher: nachgewiesene Schwachstelle, nachgewiesener Laborangriff, keine bekannte Kampagne.

Eine zweite Einschränkung betrifft die Chipfamilie. Laut Projektseite beweist ein passender Broadcom-Chip nicht, dass eine bestimmte Firmware verwundbar ist. Bei Telenet haben die Ingenieure laut Kaisers Update vom 20. Oktober die gesamte Flotte auf laufende wps_monitor-Prozesse geprüft und keine gefunden; Telenet gilt als nicht betroffen. Auch das zeigt: Die Betroffenheit lässt sich pro Flotte und Firmware klären, nicht pauschal.

Reicht es, WPS abzuschalten, und was Provider bereits tun

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptPerson in a hallway holding a router upside down inspecting its label, a replacement router box nearby, natural daylight. Photorealistic editorial magazine photo, 16:9. Absolutely no text, no letters, no numbers, no logos, no brand marks.

Die kurze Antwort der Projektseite auf die Frage, ob das Abschalten von WPS das Problem behebt, lautet: „Do not assume so.“ Ein Schalter in den Einstellungen muss den verwundbaren Parser nicht entfernen oder vollständig deaktivieren. Er kann sich auf die sichtbare Funktion beschränken, während die Komponente im Hintergrund weiterläuft. Ob das bei einem konkreten Modell zutrifft, lässt sich von außen nicht sagen.

Trotzdem ist die Maßnahme nicht wertlos. Proximus hat nach Kaisers Update vom 20. Oktober 2026 WPS innerhalb von 24 Stunden auf der gesamten BBox-Flotte abgeschaltet und will in den kommenden Wochen den vollständigen Patch ausrollen. Orange Belgium prüft das Thema laut Kaiser noch. Ein Provider, der zentral eingreift, kann zudem mehr tun als ein Privathaushalt mit dem Menüpunkt. Ob Proximus‘ Abschaltung den Parser entfernt, sagen weder Kaiser noch Proximus; dass das Unternehmen sie dennoch als ersten Schritt wählt, deutet auf eine Abmilderung, nicht auf eine Beseitigung hin (dm-Einordnung).

Anders sieht es bei Geräten auf eCos-Basis aus. Hier hilft laut Kaiser nur ein Firmware-Update des Herstellers, und für diese Plattform gibt es keine Aussicht auf eine Broadcom-Korrektur. Bleibt der Hersteller untätig, ist der Tausch des Geräts die einzige verlässliche Abhilfe. Bei Linux-Geräten hängt es davon ab, ob der Hersteller auf das neue SDK umgestiegen ist.

Das Muster kennt man aus anderen Router-Fällen: Wo Hersteller Updates liefern, ist die Lage beherrschbar, wo Geräte aus der Pflege gefallen sind, bleibt sie offen. Auch beim OpenWrt-Sicherheitsupdate hing die Lage davon ab, ob ein Update das konkrete Gerät überhaupt erreicht.

Inventar prüfen, Provider fragen, Gerät tauschen

Für Privathaushalte und kleine Büros lässt sich die Lage in vier Schritten klären, ohne irgendein Angriffswerkzeug zu benutzen. Die Schritte sind eine dm-Einordnung auf Basis der Hinweise von Kaisers Projektseite.

1. Inventar: Modellbezeichnung und Firmware-Stand des Routers notieren (Typenschild, Oberfläche des Geräts) und mit der nicht abschließenden Geräteliste des Forschers abgleichen. Ein Treffer bedeutet „gelistet“, kein Treffer bedeutet nicht „sicher“.
2. Provider oder Hersteller fragen: Konkret erfragen, ob ein Firmware-Update genau diese WPS-Monitor-Schwachstelle behebt. Die Projektseite rät, sich nicht auf den Schalter zu verlassen.
3. WPS abschalten: Wenn das Gerät es erlaubt, ist das ein sinnvoller Zwischenschritt, den auch Kaiser und Proximus nennen. Als vollständige Lösung taugt er nicht.
4. Gerät ersetzen: Gibt der Hersteller keine Auskunft oder kein Update mehr heraus, ist ein Austausch gegen ein Gerät mit gepflegter Firmware die belastbarere Option.

Bei Leihgeräten des Providers ist meist der Provider für Updates zuständig; ein Austausch lässt sich dort oft über den Kundendienst anstoßen. Wer einen eigenen Router betreibt, trägt die Aktualisierung selbst. Sinnvoll ist außerdem, Gäste-WLAN und Smart-Home-Geräte zu trennen, damit ein Fehlschlag am Router nicht automatisch alles andere öffnet (dm-Einordnung).

Eine Warnung des BSI oder von CERT-Bund zu diesem Fall war nach unserer Suche am 21. Oktober 2026 nicht zu finden; ein BSI-Hinweis ist uns daher nicht bekannt. Das ist kein Beleg für Unbedenklichkeit, sondern zeigt vor allem, dass ohne CVE-Nummer die üblichen Meldewege ins Leere laufen. Wie groß der Schaden werden kann, wenn Router in Massen kompromittiert werden, zeigte die Zerschlagung der Botnetze Aisuru und Kimwolf mit Millionen Geräten. Ein Beleg für WPSplinter-Angriffe ist das ausdrücklich nicht.

Wer die Faktenlage selbst nachverfolgen will: Kaiser dokumentiert die Chronologie samt Updates in seinem Blogbeitrag zu den zwei Fehlern in einem Parser, und The Register fasst die belgischen Zahlen im Bericht vom 19. Oktober zusammen. Bis Provider und Hersteller ihre Updates melden, ist die konkrete nächste Handlung die Anfrage beim eigenen Anbieter.