博通Wi-Fi芯片16年古董漏洞曝光：隔空免密接管路由器与被忽视的供应链盲区

坐在马路对面的车里，连你家 Wi-Fi 密码都不知道，就能直接拿到路由器的最高权限。

你甚至不用按路由器上的那个 WPS 联网小圆钮。

只要设备开着无线信号，攻击者进入射频范围，攻击就已经完成了。

这可不是实验室里的概念验证。

前几天在巴黎 Hexacon 安全大会上，研究员 Quentin Kaiser 现场把几台主流运营商的家用路由器直接打穿了。

他向目标发了几段特定的无线数据包。

几秒钟后，路由器的底层控制权直接到手。

他甚至没给路由器分配局域网 IP 地址，也没连外网服务器。

所有的指令收发，全走最原始的 802.11 无线通信帧。

更绝的是，攻击脚本顺手读了路由器的内部存储，把 Wi-Fi 密码明文抓了出来，无线回传给对面的笔记本。

密码是什么，根本不用猜。

这个让几百万台路由器大开门门的漏洞，到底是怎么来的？

问题出在博通 Broadcom 的无线芯片代码里。

更准确地说，出在它的 WPS 功能模块里。

很多人家里路由器上都有一个 WPS 按钮，按一下，电视或打印机就能免密连上 Wi-Fi。

既然要免密配网，路由器就必须在双方确认身份之前，接收陌生设备发过来的握手数据包。

这个握手过程要走一套叫 EAP 的认证协议。

如果数据包太大，就会被切成很多小碎片，分开发送。

博通在自己的芯片软件里专门写了一个后台进程，负责把这些无线碎片重新拼装回内存缓冲区。

漏洞就藏在 2010 年写进代码的这个拼装逻辑里。

博通的程序员在处理碎片拼接时，没有严格校验每个碎片的长度和缓冲区边界。

只要攻击者伪造一组带有恶意长度字段的碎片发过去，内存缓冲区当场就会被撑爆。

这一溢出，整个内存结构就乱了。

顺着这个溢出点，Quentin Kaiser 拿到了两个关键能力。

第一个是内存任意读取。

通过篡改数据结构里的指针，让路由器把自身内存里的敏感数据，顺着无线电波源源不断地吐出来。

Wi-Fi 密码就存在路由器的非易失存储器里，直接被扒了个精光。

第二个是代码任意执行。

通过精准覆盖内存里的函数调用指针，把路由器的执行流直接引向注入的攻击代码。

无需任何账号密码，直接拿下最高管理权限。

听到这里你可能会问：既然找到了问题，打个补丁不就解决了吗？

荒谬的是，这还不是最离谱的地方。

这段带漏洞的代码，早在 2010 年就已经随着博通的无线芯片软件开发包，卖给了全球各家路由器制造商。

到今天，这个漏洞整整活了 16 年。

在比利时，一个 16 岁的人已经能合法走进酒吧买啤酒喝了。

博通知道这个漏洞吗？

早就知道。

早在 2018 年，博通就私下写过一个不完整的修补方案，并在客户门户里提醒设备厂商：这套旧的 WPS 监控程序要淘汰了，建议大家迁移到开源的 hostapd 方案上。

厂商们迁移了吗？

几乎没有。

更换底层的无线协议栈，意味着整个路由器的固件要重写，软硬件兼容性要重新做漫长的测试和认证。

对于很多采用 eCos 实时操作系统的老旧芯片架构，新的开源软件根本跑不起来，这就直接变成了永远无法修复的死穴。

而对于那些能跑 Linux 系统的较新芯片，厂商们也根本没有动力给已经卖出去的老旧机型重新打包固件。

Quentin Kaiser 拿公开数据和运营商采购历史算了一笔账。

光是在比利时，Proximus、Orange 和 VOO 这几家主流运营商发给用户的家用网关里，就有至少 150 万台设备正顶着这个漏洞裸奔。

截至 2026 年 10 月中旬，没有一台收到过补丁。

而在全球范围内，博通的 Wi-Fi 芯片几乎是思科、网件、萨基姆等网络巨头的标配。

全球受影响的家庭网关和无线路由器，保守估计在千万量级以上，甚至可能上亿。

既然漏洞这么严重，为什么各家公司的安全雷达一直没报警？

这就牵扯出了整个硬件供应链里最荒唐的一环：CVE 漏洞编号。

博通自己就是官方授权的漏洞编号分配机构。

当 Kaiser 按照 90 天披露流程向博通提交完整的技术报告时，博通一口拒绝为这个漏洞分配 CVE 编号。

博通给出的理由很轻巧：这是多年前淘汰的老旧软件包，早就不维护了。

因为博通自己卡着编号不放，美国国家漏洞协调中心 CERT/CC 只能直接关单，无法建立公开档案。

没有 CVE 编号，自动化漏洞扫描器就扫不出它。

合规报表上一片绿灯，运营商的安全团队就能当作什么都没发生。

Kaiser 试图联系运营商。

Orange 比利时的首席安全官在职场社交网络上加了 Kaiser，但对安全预警邮件只字不回。

整条供应链上的每一方，都在把责任踢给上一级，最后把风险全部留在了普通用户的客厅里。

更有意思的是，Kaiser 是怎么把这个沉睡了 16 年的古董漏洞挖出来的？

他把大语言模型智能体接入了逆向工程工具 Ghidra 和硬件调试接口，让 AI 自主反编译固件、寻找边界漏洞并编写验证脚本。

如果是人类工程师逐行逆向这套庞大晦涩的二进制代码，少说也要花上几个月。

而 AI 智能体带着工具链只用了不到一周。

当 AI 把深挖老旧硬件底层代码的成本打到了几近于零，过去十几年硬件供应链欠下的技术债，正在被成批地翻出来清算。

问题是，站在你家窗外拿着天线的那个人，到底是为了发论文，还是为了别的。