The Hacker Newsによると、Broadcom製のWi-Fi Protected Setup（WPS）ソフトウェアに、電波の届く範囲からネットワークのパスワードなしで機器のroot権限を奪われる脆弱性が公表されました。セキュリティ研究者のQuentin Kaiser氏が2026年10月16日に公開したもので、世界中で数百万台規模のルーターに影響すると推定されています。公式パッチやCVE識別子は割り当てられておらず、現場での機器特定と運用の見直しが求められます。
The Hacker News：Unpatched Broadcom Wi-Fi Flaw Lets Attackers in Range Run Code as Root on Routers
オフィスや拠点内に設置されたルーターやWi-Fi機器の侵入リスクが気になる場合は、専門家によるネットワークペネトレーションテストをおすすめします。
この記事のポイント
影響のあるシステム
- Broadcom製eCosベースのチップ（BCM3380、BCM3383、BCM33834）を搭載したゲートウェイおよびルーター
- Broadcom製Linuxベースのチップ（BCM3390、BCM65xx、BCM68xx）を搭載したゲートウェイおよびアクセスポイント
- Orange BelgiumのAskey TCG3000ゲートウェイやProximusのSagemcom製BBOX3V+ゲートウェイなど、BroadcomのWPS機能を有効にしている通信機器
推奨される対策
- GitHubで公開されているYARAルール「broadcom_wps_monitor.yar」を使い、抽出したファームウェア内に脆弱なバイナリが存在するか静的解析を実施する
- モニターモードとフレーム注入に対応したWi-Fiインターフェースを準備し、動的フィンガープリントスクリプトを用いて稼働中のアクセスポイントがBroadcom SDK由来のWPS応答を返すか確認する
- WPS機能をブロードキャスト（通知）していない機器は本脆弱性の影響を受けないため、WPS機能の無効化または通知停止状態を確認する
- Linuxベースの対象機器においてWi-Fi制御ソフトウェアをBroadcom独自の実装から「hostapd」へ移行するよう製造元や提供プロバイダへ確認する
この記事に出てくる専門用語
- WPS（Wi-Fi Protected Setup）：ボタン操作やPIN入力などでWi-Fiへの接続設定を簡略化する規格です。今回の脆弱性は、Broadcomが独自に組み込んだWPS処理プログラムの内部に存在します。
- hostapd：Linux環境などでアクセスポイント機能を制御するためのオープンソースソフトウェアです。Broadcom独自のWPS実装から切り替える安全な代替策として挙げられています。
- YARA：バイナリやファイル内の特定パターンを識別して分類するための検知ツールです。今回公開された検証用ルールにより、ファームウェア内に脆弱なコードが含まれているかを判定できます。
Broadcom製WPS機能でroot権限が奪われる仕組み
The Hacker Newsによると、Broadcom製Wi-Fi機器に組み込まれたWPSソフトウェアには、分割されたセットアップメッセージを再構築する処理に不備が存在します。攻撃者が電波の届く範囲から不正に細工したフラグメントメッセージを送信すると、機器側のメモリが破壊されます。事前のアソシエーションやWi-Fiの暗号化パスワードの入力なしで、このメモリ破壊が引き起こされます。
Quentin Kaiser氏の検証では、機器のメモリから情報を読み出す手口と、任意のコードを実行する手口の2通りが実証されました。ベルギーのプロバイダ向け機器であるAskey TCG3000では、保存されていたWi-Fiパスワード（PSK）が無線経由で抜き取られました。さらにSagemcom製BBOX3V+では、外部サーバーを介さずWi-Fiフレーム上だけで対話可能なリバースシェルが立ち上がっています。
私たち診断側の視点で見ても、認証情報なしに無線レイヤーから直接rootシェルを奪われる挙動は非常に危険です。悪意ある人物が建物の外や近隣からアクセスするだけで、内部ネットワークへの足がかりを完全に確保できてしまいます。
脆弱性が生じた経緯とパッチが提供されない理由
Quentin Kaiser氏の調査では、問題のコードは少なくとも2010年まで遡ります。Broadcomは2018年に不完全な修正を出したものの、根本的な解決として顧客企業へ独自実装からhostapdへの移行を案内していました。しかし、古いeCosベースのチップ（BCM3380、BCM3383、BCM33834）については修正が提供されておらず、永久に対処されない欠陥となっています。
また、今回の脆弱性には追跡番号であるCVEが採番されていません。Broadcom自身が自社製品に対するCVE採番権限を保有しているものの公開や採番を行っておらず、CERT Coordination Centerへの通報も即日クローズされたと報じられています。公式なアドバイザリが存在しないため、世界中の機器ベンダーへ修正情報が届かない状態が続いています。
脆弱性管理の現場では、CVEや脆弱性スキャナの検知結果だけに頼る運用が一般的です。公式番号が付与されないまま放置されているファームウェアの脆弱性に対しては、自組織で能動的にチップセットや採用コードを確認する姿勢を取る必要があります。
管理下のWi-Fi機器が影響を受けるか確認する方法
GitHubで公開された検出ツール情報によると、影響の有無はファームウェアの静的解析と無線の動的スキャンの2つのアプローチで判定できます。まず入手可能なファームウェアを展開できる環境であれば、公開されているYARAルール「broadcom_wps_monitor.yar」を用いてELF32バイナリを走査します。次のコマンドで展開先ディレクトリ内を一括検査できます。
- yara -w -r broadcom_wps_monitor.yar extracted_firmware_dir
実機が稼働している場合は、モニターモードに対応した無線アダプタを用いてフィンガープリントスクリプトを実行します。Intel製などの一部のアダプタではパケット捕捉に失敗することがあるため、MediaTek製チップセットなどのフレーム注入に対応したハードウェアを使用します。WPSを広報していないアクセスポイントは本脆弱性の影響を受けません。
私たちなら、まず社内や拠点のアクセスポイントがWPSを電波上で通知しているかを最優先で確認します。YARAルールによる検知は候補の絞り込み段階であるため、ヒットした場合は機器のチップ型番やファームウェアの採用ソフトウェアについてベンダーへ詳細を問い合わせてください。
参考文献・記事一覧
- The Hacker News「Unpatched Broadcom Wi-Fi Flaw Lets Attackers in Range Run Code as Root on Routers」
- GitHub「GitHub – qkaiser/broadcom-wps: Tools to fingerprint WiFi Access Points running the Broadcom SDK and a list of known affected devices. · GitHub」
社内ネットワークの外縁にあるルーターや無線アクセスポイントの耐性を検証したい場合は、CyberCrewのペネトレーションテストをご検討ください。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
