El investigador de seguridad Quentin Kaiser ha documentado una vulnerabilidad crítica en la implementación propietaria de Wi-Fi Protected Setup (WPS) de Broadcom que afecta a millones de routers en todo el mundo, incluidos varios modelos todavía en uso en hogares españoles de Movistar, O2, Orange, MásMóvil, Jazztel y Yoigo.
El fallo, bautizado informalmente como WPSplinter, permite a un atacante situado dentro del alcance de radio ejecutar código arbitrario o extraer la contraseña WiFi sin autenticación previa. No hace falta conocer la clave de la red ni completar un emparejamiento WPS normal. Kaiser presentó los hallazgos el 16 de octubre de 2026 en la conferencia Hexacon de París.
Qué es exactamente el fallo
La vulnerabilidad reside en cómo el componente wps_monitor de Broadcom reensambla los fragmentos EAP de los mensajes WPS. Desde al menos 2010, el código no limita correctamente el tamaño de los datos reensamblados al búfer de destino. Un atacante puede enviar fragmentos manipulados por el aire y provocar una corrupción de memoria que deriva en fuga de información o ejecución de código.
Kaiser demostró dos ataques funcionales. En un equipo de Orange Bélgica (Askey TCG3000) extrajo la clave WiFi de la memoria NVRAM y la envió de vuelta por radio. En un Proximus BBOX 3V+ abrió una shell remota canalizada exclusivamente a través de tramas 802.11, sin necesidad de un servidor externo. Ambos sin contraseña y a distancia.
Modelos afectados en España
Según la lista pública mantenida por el investigador y confirmaciones de medios españoles, entre los equipos desplegados por operadores nacionales figuran:
- Askey RTF3505VW (HGU Movistar / O2), al menos hasta el firmware ES_R3505VWSTD203_N43.
- MitraStar GPT-2541GNAC (HGU Movistar / O2), hasta el firmware ES_g8.4_100VNJ0b78 o versiones próximas.
- Comtrend VG8050 (Movistar / O2 en despliegues tempranos de fibra).
- ZTE F680 v4 (Jazztel, MásMóvil, Yoigo).
- Sagemcom Fast 5656 (Livebox de Orange, Jazztel y Simyo).
Estos son routers clásicos, anteriores a Wi-Fi 6, que muchos hogares todavía conservan. Desactivar WPS en el menú de configuración no soluciona el problema: el proceso vulnerable sigue ejecutándose en segundo plano.
Por qué no hay CVE y qué ha hecho Broadcom
Broadcom conoce el problema desde al menos 2018. Publicó un parche incompleto y recomendó a los fabricantes migrar a la implementación de código abierto hostapd. Sin embargo, se negó a asignar un identificador CVE y a comunicar públicamente el fallo. Esa decisión ha dejado a muchos OEM e ISP sin una referencia clara para priorizar el parcheo.
En plataformas eCos más antiguas (BCM3380, BCM3383, BCM33834) el fallo es permanente: no hay camino de migración. En plataformas Linux (BCM3390, BCM65xx, BCM68xx) depende de que el fabricante actualice el firmware. A 15 de octubre de 2026, ninguno de los equipos belgas probados por Kaiser había recibido parche.
Qué puede hacer un usuario en España
Si tienes uno de los modelos listados, la recomendación inmediata es contactar con tu operador y preguntar si existe una actualización de firmware que corrija específicamente el componente WPS de Broadcom. Mientras tanto, considera sustituir el router por uno más reciente (Wi-Fi 6 o superior) o colocarlo en modo puente si es posible y usar un router propio actualizado.
El ataque requiere proximidad física (alcance de radio, que Kaiser describe como “larga distancia”, no solo al lado del equipo). No se han reportado explotaciones masivas en el mundo real hasta la fecha; los únicos exploits conocidos son los del investigador. Aun así, la exposición potencial es alta porque estos equipos siguen en servicio.
Contexto y alcance global
Kaiser estima más de 1,5 millones de equipos potencialmente afectados solo en Bélgica (Proximus ~850.000, VOO ~500.000, Orange Bélgica ~210.000). El software está presente en decenas de fabricantes (Cisco, TP-Link, Netgear, Nokia, ZTE, Sagemcom, Askey, MitraStar, etc.) y en operadores de múltiples países. La página pública WPSplinter y el repositorio de GitHub incluyen scripts de fingerprinting y reglas YARA para que administradores y comunidad ayuden a mapear el radio de impacto.
El investigador siguió una política de divulgación de 90 días. Informó a Broadcom el 18 de julio de 2026, a los ISP belgas y al centro de ciberseguridad belga. Broadcom respondió que el parche existía y que contactaran a los fabricantes, pero rehusó registrar CVE o compartir la notificación enviada a OEMs.
Qué puede pasar ahora
Los operadores españoles pueden publicar actualizaciones de firmware en los próximos días o semanas, o recomendar el reemplazo de equipos antiguos. No hay constancia pública de que Movistar, Orange o MásMóvil hayan emitido un comunicado específico a fecha de esta publicación. La ausencia de CVE complica el seguimiento automatizado por parte de herramientas de gestión de vulnerabilidades.
Para el usuario medio, el riesgo práctico es limitado si el router está en un piso interior y no hay atacantes cercanos, pero la ventana de exposición es real. La lección más amplia es el coste de la deuda técnica: un fallo de 16 años sigue activo en equipos que los operadores entregaron y que muchos hogares no han renovado.
Fuentes primarias: artículo técnico de Quentin Kaiser, página pública WPSplinter y repositorio de detección. Cobertura adicional en The Register y medios españoles como Bandaancha y Computer Hoy.
Deja una respuesta