Broadcom eCos Wi-Fi Ayrıştırıcı Açığı: WPS Üzerinden Kimlik Doğrulamasız RCE

Selamlar,

16 Ekim 2026'da Hexacon'da Quentin Kaiser'in anlattığı araştırma, Broadcom'un 802.11 / WPS ayrıştırıcısındaki uzun ömürlü bir hatayı kamuoyuna taşıdı. Özet: Wi-Fi menzilinden, ağ anahtarını bilmeden, normal WPS kaydı tamamlamadan bilgi sızdırma ve kod çalıştırma. Broadcom CVE vermeyi reddetmiş; birçok ISP modeminde "forever day" riski var. Araştırmacı buna WPSplinter diyor.

Etki özeti

• Köken: Broadcom SDK'da en az 2010'dan beri; 2018'de eksik yama, sonra hostapd'ye geçiş önerisi
  
• eCos tabanlı platformlar (BCM3380/3383/33834): yama almayan cihazlarda kalıcı risk
  
• Linux tabanlı Broadcom SoC'ler: OEM hostapd'ye geçmediyse risk sürebilir
  
• Belçika ISP örnekleri (araştırmacı testleri): Proximus BBOX, VOO Netgear/Technicolor, Orange ASKEY TCG3000 — 15 Ekim itibarıyla yamasız örnekler; 20 Ekim güncellemesinde Proximus filoda WPS'yi kapatmış, Telenet etkilenmiyor
  

Demo senaryolarında PSK NVRAM'den okunup 802.11 üzerinden geri gönderiliyor veya ters kabuk 802.11 frame'leriyle geliyor. "Anten yakında" yanılsamasına düşmeyin; menzil iddiası uzun mesafe.

Ev/ofis kullanıcısı ne yapsın?

1. Modem/router modelinizi ve ISP duyurularını kontrol edin; firmware güncellemesi veya WPS'nin merkezden kapatılması var mı bakın.
   
2. WPS'yi (düğme + PIN) kapatın; WPA3-Personal kullanın, misafir ağını ayırın.
   
3. ISP cihazı yönetilemiyorsa: kendi AP'nizi köprü modunda kullanmayı değerlendirin.
   
4. Araştırmacının fingerprint script / YARA'sı ile kendi cihaz envanterinizi çıkarın (yalnızca sahip olduğunuz ekipman).
   

Kurumsal / ISP perspektifi
16 yıllık raf ömrü, sessiz yama ve CVE reddi birleşince OEM'ler haber alamıyor. Nearest-neighbour ve otel ağı senaryoları için biçilmiş kaftan: hava üzerinden, savunmacının görünürlüğü düşük. Segmentasyon ve "CPE'yi güvenilir sayma" varsayımını gözden geçirin.

Alıntı:Broadcom'un kendi yanıtına göre hata 2018'den beri biliniyor; yine de CVE ve kamu iletişimi yok. Bu yüzden birçok OEM yama uygulamadı.

Yasal uyarı
Komşu veya işletme Wi-Fi'sine izinsiz saldırı suçtur. Test yalnızca kendi laboratuvar ekipmanınızda. TCK 243-245.

Kaynaklar

• https://quentinkaiser.be/security/2026/1...-two-bugs/
  
• https://qkaiser.github.io/broadcom-wps/
  
• SANS Stormcast 20 Ekim 2026 özeti (ISC)
  

Türkiye / bölge notu
Araştırma Belçika ISP örnekleriyle somutlaştı; Broadcom tabanlı CPE dünyanın her yerinde. Türkiye'de operatör modemlerinde WPS durumunu kontrol edin, güncelleme kanalını açın, mümkünse kendi AP'nize geçin. Kurumsal misafir Wi-Fi'de ISP CPE'yi doğrudan kullanmayın.



Uygulamada sık gördüğüm hatalar
Birçok ekip yamayı "planlandı" diye işaretleyip internete açık yüzeyde günlerce bekletiyor. İkinci sık hata: yalnızca CVE numarasına bakıp zincir etkisini görmemek. Üçüncü hata: yama sonrası log ve dosya bütünlüğüne bakmamak; oysa yama öncesi sömürü olmuş olabilir. Bu üç noktayı kendi kontrol listenize eklemenizi öneririm.

Ekip içi iletişim şablonu
Yönetime veya müşteriye yazarken teknik jargonu azaltın: hangi varlık etkilendi, internete açık mı, yama var mı, geçici azaltma ne, doğrulama nasıl yapılacak. Tek paragrafta risk + eylem + sahiplik yazmak, uzun CVE özetinden daha hızlı karar aldırır.

Lab not defteri
Bu konuyu kendi defterime şu başlıklarla işliyorum: tarih, kaynak URL, etkilenen ürün/sürüm, internete açık mı, yama komutu, geri alma planı, IOC listesi, kime haber verildi. Siz de benzer basit bir şablon tutarsanız bir ay sonra "ne yapmıştık?" sorusu cevapsız kalmaz.

İzleme ve doğrulama
Değişiklikten sonra en az bir negatif ve bir pozitif kontrol tanımlayın. Negatif: alarm boş yere düşmemeli. Pozitif: bilinen kötü örneği veya beklenen log satırını yakalamalı. İkisini de kaydedin; aksi halde "sanırım düzeldi" ile yetinirsiniz.

Sonuç
Özetle: kaynağı okuyun, kendi envanterinize bağlayın, yama veya azaltmayı uygulayın, sonra doğrulayın. TurkTeam'de yorumlarda kendi ortamınızdan (ürün adı ve sürüm yeter, hassas IP yazmayın) kısa deneyim paylaşırsanız herkes faydalanır.


Adım adım kontrol listesi (kopyala-yapıştır)

1. Kaynak duyuruyu ve varsa üretici güvenlik sayfasını arşivleyin (PDF/HTML).
   
2. Envanterde etkilenen ürün var mı diye CMDB / agent raporu / netscan ile bakın.
   
3. İnternete açık mı, yoksa yalnızca iç ağda mı? Buna göre SLA seçin.
   
4. Yama veya yapılandırma azaltmasını stagingde deneyin.
   
5. Üretim penceresinde uygulayın; değişiklik kaydı açın.
   
6. Servis sağlık kontrolü + log doğrulaması yapın.
   
7. Gerekliyse IOC avı veya compromise assessment planlayın.
   
8. Kapanış notunu yazın: sürüm, tarih, kim onayladı.
   

Sık sorulanlar
Sadece okumak yeter mi? Hayır. Okuduktan sonra envanter satırına bağlanmayan bilgi operasyonel değildir.
PoC çalıştırmalı mıyım? Yalnızca izole lab ve yazılı izinle. İnternette rastgele deneme hem etik dışı hem yasadışı olabilir.
WAF / EDR tek başına kurtarır mı? Katmanlı savunma işe yarar ama yamanın yerini tutmaz; özellikle kimlik doğrulamasız RCE sınıflarında.
Ne zaman yönetime çıkmalıyım? İnternete açık kritik yüzey, aktif sömürü istihbaratı veya veri sızıntısı şüphesi varsa gecikmeden.

Örnek komut defteri
Bu komutlar tanı koymaz; değişiklik öncesi/sonrası basline almak için kullanın.

İlgili TurkTeam bölümleri
Bu yazıyı okuduktan sonra aynı kategorideki komşu konulara ve Soru-Cevap bölümüne kendi lab çıktınızı (hassas veri olmadan) taşıyabilirsiniz. Kısa ekran görüntüsü veya komut çıktısı, uzun teoriden daha çok işe yarar.

Kapanış ve yasal çerçeve
TurkTeam white-hat bir topluluktur. Anlatılan teknikler eğitim, savunma ve izinli test içindir. Başkalarının sistemlerinde izinsiz tarama, sömürü, veri çalma veya "hack hizmeti" sunmak forum kurallarına ve TCK 243, 244, 245 maddelerine aykırıdır. Kendi laboratuvarınızı izolasyonla kurun; üretim verisi kullanmayın. Kaynaklardaki bağlantıları birincil referans kabul edin; bu yazı özet ve yol göstericidir, üretici duyurusunun yerini tutmaz.

Kişisel deneyim notu
Ben benzer konuları işlerken önce resmi duyuruyu iki kez okuyup sonra labda en küçük yeniden üretilebilir adımı arıyorum. Yeniden üretemiyorsam bile envanter ve yama doğrulamasını aynı gün bitirmeye çalışıyorum. Siz de "bugün tek iş" diye bir satır seçin: ya yamayı uygulayın ya da etkilenen varlık olmadığını kanıtlayın. İkisi de geçerli kapanıştır.

Okuma listesi

• Üretici / araştırmacı birincil yazısı (kaynakçada)
  
• CISA KEV veya CERT duyurusu varsa o
  
• Kendi iç runbook'unuzun ilgili maddesi
  

Üçünden fazlasını aynı anda açmak yerine birini bitirip not alın; aksi halde tab kaybı başlar.