Broadcom製Wi-Fi機能に未修正の脆弱性、電波圏内から認証なしでルーターをroot乗っ取り可能に

要点

• Broadcom製Wi-FiソフトウェアのWPS機能にメモリ破壊の欠陥が見つかり、電波圏内の攻撃者がパスワードなしでルーターをroot権限で遠隔操作できることが判明した。

• セキュリティ研究者のクエンティン・カイザー氏が実証に成功し、Wi-Fiパスワードの取得や無線フレーム経由での遠隔シェル起動を確認した。

• 影響は世界で数百万台規模とされるが、旧型チップ向けにはパッチが存在せず「永久に修正されない」状態にある。

• Broadcomが公表やCVE番号の登録を行わなかったため、機器ベンダーへの対策周知が長年遅れたと指摘されている。

• 半導体大手Broadcom（ブロードコム）のWi-Fiセットアップ機能に、電波の届く範囲からパスワードなしでルーターをroot権限で遠隔操作できる脆弱性が存在することが明らかになった。セキュリティ研究者のQuentin Kaiser（クエンティン・カイザー）氏が2026年10月16日に調査結果を公表した。影響を受けるルーターに修正パッチは配布されておらず、脆弱性を追跡するためのCVE識別番号も割り当てられていないという。

WPS処理の不備によるメモリ破壊と攻撃実証

欠陥が見つかったのは、パスワード入力を省略して機器を接続するための規格「WPS（Wi-Fi Protected Setup）」に関するBroadcomの実装だ。分割されて届くWPSメッセージを再構築する処理に不備があり、電波圏内にいる攻撃者が細工したメッセージを送信することでメモリを破壊できる状態になっていた。カイザー氏はこの欠陥を突き、メモリ情報の読み出しと任意コード実行という2種類の手法を実証した。

ベルギーのインターネット接続事業者が提供する家庭用ゲートウェイを用いた検証では、Orange Belgiumの端末「Askey TCG3000」から保存されていたWi-Fiパスワード（PSK）を抜き出して自動接続することに成功した。また、Proximusの端末「Sagemcom BBOX3V+」に対する検証では、外部サーバーを介さずWi-Fiフレーム上で直接リバースシェル（攻撃者側に操作権限を渡す遠隔コマンド実行環境）を立ち上げられたという。いずれもログインやペアリング操作は不要で、離れた場所からでも成立したと報告されている。なお、実環境での悪用事例は報告されていない。

数百万台に及ぶ影響と旧型チップの「フォーエバーデイ」

BroadcomのWPSコードは数十社のネットワーク機器メーカーに採用されており、カイザー氏は世界中で数百万台規模のデバイスが影響を受けていると推計している。

影響を受けるチップは2世代に分かれる。組み込み向けリアルタイムOSのeCosを採用した旧型（BCM3380、BCM3383、BCM33834）には有効な修正手段が存在せず、同氏は永久にパッチが提供されない「フォーエバーデイ（forever day）」と呼んでいる。一方、Linuxベースの新しいチップ（BCM3390、BCM65xx、BCM68xx）については、Wi-Fi制御ソフトウェアを切り替えることで対処が可能だという。

ベルギー国内では、主要4社のうちProximus、Orange Belgium、VOOの3社が配布するゲートウェイで脆弱性の存在と攻撃の成立が確認された。残るTelenetも影響を受ける可能性があるものの未検証だとしている。また、同氏が公開した対象リストにはCiscoの小規模ビジネス向け機器やHuawei、ARRISのルーターなども含まれるが、これらは自動検査による未確認の機器も混在している。

2018年からの放置とCVE未採番の経緯

問題のコードは少なくとも2010年にまで遡る。カイザー氏によると、Broadcomは2018年に不完全な修正を出したものの、修正に依存せず「hostapd」と呼ばれる別のWi-Fiソフトウェアへ移行するよう顧客企業に案内しており、旧型eCosチップ向けには機能するパッチを提供しなかった。

また、本件には脆弱性を識別・追跡するためのCVE番号が割り当てられていない。カイザー氏によれば、Broadcomは2018年から問題を把握していたにもかかわらず公表やCVE登録を行わなかったため、多くの機器メーカーに対策が広がらなかったという。米CERT/CC（CERT Coordination Center）に持ち込んだ際も、Broadcom自身が自社製品へのCVE採番権限を持っていたため、同社の拒否により即日で報告が終了処理された。2026年10月19日時点でもCVEは未登録のままだ。

防御側の現状と対策

現在、適用可能なパッチや電波経由の攻撃を遮断する設定は存在しない。カイザー氏はファームウェア検査用のYARAルール（不正コードの特徴パターンを検出するルール）や、稼働中のアクセスポイントを監視して脆弱性を判定するスクリプトを公開している。ただし、これらは初期判定用であり、パッチ適用済みの機器でも検知される可能性があるため詳細な確認が必要だという。パッチが提供されない旧型機器については、機器そのものを買い替えることが現実的な選択肢となる。

カイザー氏は、インターネット越しではなく近接するWi-Fi電波から侵入を図る攻撃に適した脆弱性だと指摘している。道路の向かい側から無線経由で侵入する手口は、過去にロシアの国家支援型ハッカー組織によっても悪用されているという。

補足

物理的に電波が届く範囲からの不正侵入リスクに対し、修正が望めない古い機器の買い替えや長期的なサプライチェーン保守のあり方が問われている。