Celah WPS Broadcom 16 Tahun Ancam Router, Tanpa CVE dan Tanpa Tambalan

Telset.id – Sebuah celah keamanan pada perangkat lunak Wi-Fi Broadcom yang berusia setidaknya 16 tahun memungkinkan siapa pun dalam jangkauan radio mengambil alih router yang rentan tanpa perlu kata sandi. Yang lebih penting, perbaikan yang diklaim Broadcom sudah dikirim bertahun-tahun lalu ternyata tidak pernah mencapai banyak router yang membutuhkannya. Temuan ini dipresentasikan oleh peneliti keamanan Quentin Kaiser pada ajang Hexacon baru-baru ini, lengkap dengan dokumentasi tertulis yang menamai bug tersebut “WPSplinter” — nama yang ia sendiri akui tidak disukainya. Tanpa CVE yang ditetapkan, nama itulah satu-satunya label yang dimiliki celah ini.

Celah WPSplinter bersemayam di WPS Monitor lawas milik Broadcom, komponen yang menangani Wi-Fi Protected Setup, fitur pemasangan tombol tekan yang banyak ditemukan pada router rumah. Ketika pesan WPS datang dalam bentuk fragmen, perangkat lunak tersebut menyatukannya kembali tanpa memeriksa apakah hasilnya muat dalam memori yang disediakan. Menurut halaman dokumentasi publik Kaiser, penyerang dapat menjangkau kode itu melalui udara sebelum proses pemasangan mana pun selesai, sehingga tidak diperlukan PIN, penekanan tombol, maupun kunci jaringan. Dampaknya: siapa pun dalam jangkauan dapat membaca memori router dan menjalankan kode di atasnya.

Berbeda dengan serangan brute-force WPS PIN pada awal 2010-an, kelemahan kali ini berada di dalam kode Broadcom, bukan pada protokolnya. Pada gateway Askey TCG3000 yang dipasok Orange Belgium, kode Kaiser berhasil menarik kata sandi Wi-Fi dari penyimpanan router dan mengirimkannya melalui udara; ia kemudian menggunakannya untuk bergabung ke jaringan. Pada perangkat Proximus BBOX3V+ buatan Sagemcom, ia membuka shell jarak jauh yang berjalan sepenuhnya melalui frame Wi-Fi. Kaiser menyebut serangan ini bekerja pada jarak jauh, meski ia belum mempublikasikan angka jaraknya. Ringkasannya: “Anda bisa mendapatkan root shell dari seberang jalan” pada sebagian besar router di Belgia.

Kronologi Pelaporan dan Sikap Broadcom

Kaiser melaporkan celah ini kepada Broadcom pada Juli 2026, memulai hitungan pengungkapan 90 hari. Pada 28 Juli, Broadcom membalas bahwa tambalan sudah tersedia dan memintanya menghubungi produsen perangkat yang terdampak. Menurut keterangan Kaiser, perusahaan juga menyatakan telah mengetahui bug ini sejak 2018, telah mendengarnya dari pihak lain, dan sejak saat itu telah mengganti WPS Monitor dengan hostapd yang bersumber terbuka. Posisi resmi Broadcom adalah bahwa masalah ini sudah diperbaiki bertahun-tahun lalu.

Pertanyaan sebenarnya adalah seberapa jauh perbaikan itu berdampak. Kaiser menyebut tambalan tahun 2018 pada kode lama tidak lengkap dan dikirim secara diam-diam, sementara jawaban sesungguhnya dari Broadcom adalah kit perangkat lunak yang lebih baru yang menghapus komponen rentan sepenuhnya — yang hanya membantu jika produsen perangkat melakukan migrasi. Pada chip lawas Broadcom berbasis eCos (BCM3380, BCM3383, dan BCM33834) tidak ada jalur migrasi, menjadikan ini apa yang disebut Kaiser sebagai “forever day”: celah yang tidak akan pernah diperbaiki.

Perangkat keras berbasis Linux seperti BCM3390, BCM63xx, BCM65xx, dan BCM68xx masih bisa diperbaiki, tetapi hanya jika setiap produsen melakukan pekerjaan porting, kadang untuk produk yang sudah bertahun-tahun di luar dukungan. Broadcom tidak menerbitkan advisory publik apa pun, dan posisinya hanya diketahui melalui keterangan Kaiser atas korespondensi mereka. Broadcom juga menolak mengajukan CVE, dengan alasan perangkat lunak tersebut sudah usang dan di luar jendela dukungannya, serta menolak membagikan pemberitahuan yang diklaim telah dikirim ke produsen.

Karena Broadcom sendiri merupakan CVE Numbering Authority, perusahaan itu secara efektif memutuskan apakah celah pada produknya sendiri mendapatkan identitas. Hal ini membuat pengguna dan peneliti bergantung pada satu label buatan peneliti untuk merujuk masalah yang berdampak pada ribuan perangkat di lapangan.

Mengapa Ganti Kata Sandi Wi-Fi Tidak Menolong

Karena serangan terjadi sebelum proses login apa pun, mengganti kata sandi Wi-Fi tidak akan berpengaruh. Menonaktifkan WPS melalui pengaturan router pun mungkin tidak membantu, seperti diperingatkan dokumentasi Kaiser: “Tombol pengaturan mungkin tidak menghapus atau menonaktifkan parser yang rentan sepenuhnya.” Pengecualiannya tampaknya adalah ketika penyedia layanan internet menonaktifkan WPS secara terpusat, tetapi belum jelas berapa banyak yang akan melakukannya.

Bagi pengguna lainnya, perbaikan sesungguhnya adalah pembaruan firmware dari penyedia layanan internet atau produsen router, atau untuk perangkat keras berbasis eCos yang lebih tua, penggantian perangkat secara menyeluruh. Pengguna yang menyewa gateway perlu menanyakan kepada penyedianya apakah firmware mereka masih menyertakan kode WPS lawas Broadcom.

Kaiser mengaitkan penggunaan AI sebagai alat bantu yang memangkas pekerjaan dari berbulan-bulan menjadi kurang dari sepekan, dan Cybernews melaporkan ia menggunakan agen Codex dari OpenAI. Hal itu berlaku dua arah: penyerang memiliki alat yang sama. Kaiser berargumen bahwa akses melalui udara yang sulit dipantau seperti ini ideal untuk operasi bertarget, seperti APT28 dari Rusia yang menjangkau target melalui Wi-Fi organisasi tetangga, atau Midnight Blizzard yang membajak portal login Wi-Fi hotel untuk menginfeksi pelancong.

Chip Broadcom juga pernah menjadi pusat celah Wi-Fi Kr00k pada 2020, meski produsen perangkat sejak itu telah menerbitkan CVE dan tambalan. Router yang tidak didukung cenderung berubah menjadi infrastruktur milik pihak lain, seperti diperingatkan FBI pada Mei 2025. Kaiser bahkan bercanda bahwa pada usia 16 tahun, bug ini sudah cukup tua untuk memesan bir di bar Belgia.

Broadcom saat ini menganggap kode tersebut sudah pensiun, tetapi perangkat keras yang mendasarinya masih berjalan di ribuan rumah tangga hingga kini, termasuk di lokasi komersial. Bagi pengguna yang masih memakai router dengan chip lawas Broadcom, satu-satunya langkah konkret yang tersedia adalah memastikan firmware perangkat masih diperbarui oleh penyedia, atau bersiap menggantinya jika produsen sudah tidak lagi mendukung produk tersebut.

[ META_DESCRIPTION]
Celah WPSplinter pada software Wi-Fi Broadcom berusia 16 tahun memungkinkan pengambilalihan router tanpa kata sandi. Broadcom menolak ajukan CVE.