Lỗ hổng WPSplinter có thể ảnh hưởng hàng trăm triệu router trên toàn cầu

Một lỗ hổng bảo mật tồn tại trong mã nguồn Wi-Fi Protected Setup (WPS) của Broadcom đang làm dấy lên lo ngại về an toàn mạng gia đình. Theo nhà nghiên cứu bảo mật Quentin Kaiser, vấn đề có tên WPSplinter có thể ảnh hưởng đến hàng triệu bộ định tuyến, thậm chí lên tới hàng trăm triệu thiết bị trên toàn cầu.

Điều đáng chú ý là Broadcom được cho là đã biết về lỗi này từ năm 2018 và thay thế đoạn mã liên quan. Tuy nhiên, nhiều thiết bị sử dụng phần mềm cũ vẫn chưa được cập nhật, trong khi lỗ hổng không có mã định danh CVE để các nhà sản xuất và nhà cung cấp dịch vụ Internet (ISP) dễ dàng theo dõi.

WPSplinter cho phép tấn công router qua Wi-Fi

Quentin Kaiser đã trình bày chi tiết lỗ hổng tại hội nghị bảo mật Hexacon ở Paris vào ngày 16/10/2026. Theo bài phân tích được đăng trên trang cá nhân của nhà nghiên cứu, WPSplinter xuất phát từ cách mã nguồn cũ của Broadcom xử lý các thông điệp trong giao thức WPS.

WPS là tính năng cho phép người dùng kết nối thiết bị với mạng Wi-Fi thông qua thao tác đơn giản, chẳng hạn nhấn nút trên router, thay vì nhập mật khẩu. Tuy nhiên, lỗi trong quá trình xử lý thông điệp có thể tạo điều kiện để kẻ tấn công đọc dữ liệu trong bộ nhớ hoặc thực thi mã từ xa trên thiết bị.

Đáng lo ngại, cuộc tấn công không yêu cầu tin tặc biết mật khẩu Wi-Fi hay hoàn tất quá trình kết nối WPS. Chỉ cần nằm trong phạm vi phủ sóng không dây, kẻ tấn công đã có thể khai thác lỗ hổng.

WPSplinter cũng khác với lỗ hổng thiết kế liên quan đến mã PIN WPS từng gây chú ý vào đầu những năm 2010. Trong trường hợp này, vấn đề nằm ở cách Broadcom triển khai và xử lý dữ liệu trong mã nguồn, thay vì bản thân cơ chế xác thực WPS.

Nhiều router của các nhà mạng đã được xác nhận bị ảnh hưởng

Các thử nghiệm của Kaiser cho thấy mức độ nguy hiểm của WPSplinter. Trên thiết bị gateway Askey TCG3000 do Orange Belgium cung cấp, nhà nghiên cứu đã khai thác lỗ hổng để lấy khóa Wi-Fi từ bộ nhớ NVRAM, gửi dữ liệu trở lại qua mạng không dây và sử dụng khóa này để truy cập mạng.

Với một thiết bị khác là Proximus BBOX3V+ do Sagemcom sản xuất, Kaiser cho biết ông đã thiết lập được một shell điều khiển từ xa thông qua Wi-Fi mà không cần kết nối Internet ở phía kẻ tấn công. Theo nhà nghiên cứu, cuộc tấn công còn có thể thực hiện từ khoảng cách tương đối xa trong điều kiện phù hợp.

Kaiser đã xác nhận lỗ hổng trên các thiết bị định tuyến của ba trong bốn nhà cung cấp dịch vụ Internet lớn nhất Bỉ, gồm Proximus, Orange và VOO. Riêng tại quốc gia này, ông ước tính khoảng 1,5 triệu thiết bị có nguy cơ bị ảnh hưởng.

Phạm vi thực tế có thể lớn hơn nhiều, bởi các mẫu router sử dụng nền tảng chip Broadcom cũng được triển khai trên toàn cầu. Danh sách thiết bị do Kaiser tổng hợp, dù chưa đầy đủ, có các sản phẩm từ Cisco, TP-Link, Netgear, Sagemcom, Nokia, ZTE và Zyxel. Những thiết bị này được sử dụng bởi nhiều nhà mạng quốc tế như Movistar, Optus, KPN và Türk Telekom.

Từ đó, nhà nghiên cứu cho rằng số lượng thiết bị có nguy cơ trên toàn cầu có thể lên tới hàng trăm triệu. Tuy nhiên, đây vẫn là ước tính, chưa phải số liệu thống kê đầy đủ về các router thực sự dễ bị khai thác.

Bản vá từ năm 2018 nhưng thiếu mã CVE

Khi Kaiser báo cáo vấn đề vào tháng 7/2026, Broadcom cho biết hãng đã biết về lỗ hổng từ năm 2018, đồng thời thay thế mã WPS cũ trong phần mềm của mình và đề nghị nhà nghiên cứu liên hệ với các nhà sản xuất thiết bị.

Dù vậy, Kaiser cho rằng bản vá dành cho đoạn mã cũ có thể chưa giải quyết triệt để vấn đề. Broadcom cũng từ chối cấp mã định danh CVE, với lý do phần mã liên quan đã lỗi thời và nằm ngoài thời hạn hỗ trợ.

Việc thiếu mã CVE khiến lỗ hổng khó được nhận diện trong các hệ thống cảnh báo bảo mật và quy trình cập nhật mà nhà sản xuất router cũng như ISP sử dụng. Trên Hacker News, một số ý kiến cho rằng trách nhiệm thuộc về các nhà sản xuất và nhà mạng vì không cập nhật phần mềm. Ngược lại, Kaiser lập luận rằng nếu không có mã CVE, thông tin cảnh báo có thể không được chuyển đến những đơn vị chịu trách nhiệm triển khai bản vá.

Trường hợp này cho thấy một bản vá được phát hành ở cấp độ nhà cung cấp chip chưa chắc đã đồng nghĩa với việc thiết bị của người dùng được bảo vệ. Quá trình cập nhật còn phụ thuộc vào nhà sản xuất router, nhà mạng và vòng đời hỗ trợ của từng sản phẩm.

Tắt WPS chưa chắc đã giải quyết triệt để vấn đề

Theo Kaiser, thay đổi mật khẩu Wi-Fi không thể ngăn chặn kiểu tấn công này, bởi lỗ hổng có thể bị khai thác trước khi kẻ tấn công đăng nhập vào mạng. Tắt WPS vẫn là biện pháp nên thực hiện, nhưng chưa chắc vô hiệu hóa hoàn toàn đoạn mã dễ bị tổn thương trên mọi thiết bị.

Nếu đang sử dụng router do nhà mạng cung cấp và lo ngại về tình trạng firmware, người dùng có thể cân nhắc tắt Wi-Fi trên thiết bị đầu cuối, chuyển thiết bị sang chế độ bridge nếu được hỗ trợ và sử dụng router riêng đã được cập nhật. Tuy nhiên, phương án này cần được cấu hình phù hợp với hệ thống mạng hiện có, đồng thời không thay thế việc xử lý lỗ hổng trên thiết bị gốc.

Kaiser cũng công bố một công cụ trên GitHub để hỗ trợ kiểm tra phần cứng có liên quan. Người dùng nên tham khảo hướng dẫn và xác định chính xác model, phiên bản firmware trước khi thực hiện bất kỳ thao tác kiểm tra nào.

Một chi tiết đáng chú ý khác là Kaiser cho biết các công cụ AI đã giúp ông tìm ra lỗ hổng trong chưa đầy một tuần, trong khi quá trình phân tích thủ công có thể mất hàng tháng. Điều này cho thấy AI đang giúp rút ngắn đáng kể thời gian nghiên cứu firmware, nhưng đồng thời cũng có thể khiến việc phát hiện và khai thác những lỗi tồn tại lâu năm trở nên dễ dàng hơn đối với cả chuyên gia bảo mật lẫn tin tặc.