# Broadcom WPSplinter: ช่องโหว่ Wi-Fi อายุ 16 ปี เจาะเราเตอร์ได้โดยไม่ต้องรู้รหัสผ่าน

> Broadcom WPSplinter ช่องโหว่ WPS ในซอฟต์แวร์ Wi-Fi ของ Broadcom ตั้งแต่ปี 2010 ให้คนในระยะสัญญาณรันโค้ดบนเราเตอร์โดยไม่รู้รหัส ไม่มี CVE และบางรุ่นไม่มีทางแพตช์

- ประเภท: ข่าว · หมวด: Networking
- เผยแพร่: 2026-10-22T12:00:00.000Z · อัปเดต: 2026-10-22T12:00:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/network/broadcom-wpsplinter-wi-fi-router-flaw-16-years/

## สรุปประเด็นสำคัญ

- Quentin Kaiser เปิดเผย **Broadcom WPSplinter** ที่งาน Hexacon 2026 ในปารีสเมื่อ **16 ตุลาคม 2026** เป็นช่องโหว่ในส่วนรวมชิ้นข้อความ EAP-WPS ของ WPS Monitor ที่อยู่ใน SDK ของ Broadcom มาตั้งแต่อย่างน้อยปี **2010**
- ผู้โจมตีที่อยู่ในระยะสัญญาณ Wi-Fi ไม่ต้องรู้รหัสผ่านและไม่ต้องลงทะเบียน WPS ก็อ่านหน่วยความจำและรันโค้ดบนอุปกรณ์ได้ ผู้วิจัยสาธิตบนเกตเวย์ของผู้ให้บริการ **3 ใน 4 ราย** ในเบลเยียม
- Broadcom ปฏิเสธการออก CVE โดยระบุว่าซอฟต์แวร์นี้ล้าสมัยและพ้นช่วงการสนับสนุน บริษัทเปลี่ยนไปใช้ hostapd ตั้งแต่ปี **2018** แต่แพลตฟอร์ม eCos อย่าง BCM3380, BCM3383 และ BCM33834 อาจไม่มีทางย้ายไปรุ่นใหม่
- รายชื่ออุปกรณ์ในคลัง GitHub ของผู้วิจัย ณ **22 ตุลาคม 2026** ระบุ ZTE F680 v4 ว่ายืนยันแล้ว โดยมี ThailandToT และ Ais อยู่ในรายชื่อผู้ให้บริการที่ใช้งาน และระบุ True Internet ในแถวของ Nokia G-240W

นักวิจัยความปลอดภัย Quentin Kaiser เปิดเผยช่องโหว่ Broadcom WPSplinter ที่งาน Hexacon 2026 ในปารีสเมื่อวันที่ 16 ตุลาคม 2026 เป็นช่องโหว่ในระบบ WPS ของซอฟต์แวร์ Wi-Fi จาก Broadcom ที่มีมาตั้งแต่อย่างน้อยปี 2010 ผู้โจมตีที่อยู่ในระยะสัญญาณรันโค้ดบนเราเตอร์และ access point ได้โดยไม่ต้องรู้รหัสผ่าน Wi-Fi

Broadcom ปฏิเสธการออกหมายเลข CVE ให้ช่องโหว่นี้ และแพลตฟอร์มรุ่นเก่าบางกลุ่มอาจไม่มีทางแพตช์ ผู้วิจัยระบุว่า ณ 15 ตุลาคม อุปกรณ์ที่เขาสาธิตยังไม่มีเครื่องใดได้รับแพตช์ ก่อนที่อัปเดตวันที่ 20 ตุลาคมจะรายงานว่า Proximus ในเบลเยียมปิด WPS บนเกตเวย์ทุกเครื่องแล้ว ส่วนรายชื่ออุปกรณ์ของผู้วิจัยมีชื่อผู้ให้บริการในไทยรวมอยู่ด้วย

## Broadcom WPSplinter คือช่องโหว่อะไร

หน้าเอกสารของผู้วิจัยอธิบายว่า WPS Monitor ซึ่งเป็นส่วนจัดการ WPS แบบเก่าของ Broadcom รวมชิ้นข้อความ EAP-WPS ที่ส่งมาเป็นหลายส่วนกลับเข้าด้วยกัน โดยไม่จำกัดขนาดให้พอดีกับบัฟเฟอร์ปลายทาง ผู้โจมตีที่อยู่ใกล้ส่งข้อมูลถึงตัวแยกวิเคราะห์นี้ผ่าน Wi-Fi ได้ก่อนการลงทะเบียน WPS ปกติจะเสร็จ จึงไม่ต้องรู้รหัสผ่านเครือข่าย ผลที่ผู้วิจัยสาธิตได้คือการอ่านหน่วยความจำแบบควบคุมได้และการรันโค้ดใดก็ได้บนอุปกรณ์ ส่วนสิทธิ์ที่ได้จริงขึ้นกับรุ่นและเฟิร์มแวร์

บล็อกของ Kaiser บรรยายการสาธิตบนเกตเวย์ ASKEY TCG3000 ของ Orange Belgium ว่าโค้ดที่รันได้ดึงรหัสผ่าน Wi-Fi (PSK) จากหน่วยความจำ NVRAM ส่งกลับผ่านคลื่น 802.11 แล้วใช้รหัสนั้นเข้าเครือข่ายได้ เขาเขียนว่า "คุณได้ root shell จากอีกฝั่งถนน" บนเราเตอร์จำนวนมากในเบลเยียม และย้ำว่าการโจมตีทำได้จากระยะไกลกว่าที่เห็นในวิดีโอ แหล่งข้อมูลของผู้วิจัยไม่ได้ระบุว่าพบการโจมตีจริงนอกเหนือจากการสาธิต

![หน้าเอกสาร WPSplinter ของผู้วิจัย ส่วนคำถามที่พบบ่อย ระบุว่าการปิด WPS ในหน้าตั้งค่าอาจไม่พอ และ Broadcom ปฏิเสธการขอ CVE](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/broadcom-wpsplinter-wi-fi-router-flaw-16-years/wpsplinter-faq-disable-wps.webp?v=e4c32502) _(ภาพ: Quentin Kaiser (ภาพหน้าจอ))_

## ชิปและอุปกรณ์ที่ได้รับผลกระทบจาก Broadcom WPSplinter

งานวิจัยครอบคลุม WPS Monitor บนระบบปฏิบัติการ eCos และ Linux ผู้วิจัยแบ่งความรุนแรงของปัญหาตามแพลตฟอร์มดังนี้

| แพลตฟอร์ม | ตระกูลชิป (SoC) | สถานะตามผู้วิจัย |
| --- | --- | --- |
| eCos | BCM3380, BCM3383, BCM33834 | ผู้วิจัยจัดเป็น forever day แน่นอน ผลิตภัณฑ์ eCos รุ่นเก่าอาจไม่มีทางย้ายไป SDK ใหม่ |
| Linux | BCM3390, BCM63xx, BCM65xx, BCM68xx | อาจเป็น forever day ถ้าผู้ผลิตอุปกรณ์ไม่ยอมย้ายไป SDK ใหม่ |

Kaiser ประเมินว่า Broadcom WPSplinter กระทบผู้ผลิตหลายสิบราย ผลิตภัณฑ์หลายร้อยรุ่น และ access point ที่ใช้ชิป Broadcom หลายล้านเครื่องทั่วโลก รายชื่อที่เผยแพร่มีทั้งเกตเวย์ที่ระบุผู้ให้บริการอินเทอร์เน็ตที่ใช้งาน และเราเตอร์กับ access point ที่ไม่ได้ระบุผู้ให้บริการ เช่น

- **Cisco** RV110W, RV130W, RV215W, RV340W และรุ่น WAP เช่น WAP125, WAP150, WAP361 และ WAP571
- **TP-Link** Archer C3150, Archer C5400, Archer VR2800, Archer VR600, Archer VR900, TD-VG5612 และ VR1600
- **Huawei** B310, B315, B593 และ WS880
- **Netgear** CG3100 และ CG3700B, **Askey** TCG3000, **Arcadyan** VRV9517, **Sagemcom** F@st หลายรุ่น และ **Zyxel** VMG3312-B10A/B10B

ผู้วิจัยย้ำว่ารายชื่อนี้ยังไม่ครบ คลัง GitHub คาดว่ารายการสมบูรณ์จะมีอุปกรณ์หลายพันรุ่น อุปกรณ์ที่ไม่มีชื่อจึงไม่ได้แปลว่าปลอดภัย และในทางกลับกัน ชิปที่ตรงกันอย่างเดียวก็ไม่ได้ยืนยันว่าเฟิร์มแวร์นั้นมีช่องโหว่ เพราะฮาร์ดแวร์และเฟิร์มแวร์แต่ละรุ่นย่อยต่างกันได้

## ชื่อผู้ให้บริการในไทยในรายชื่อ Broadcom WPSplinter

ตารางอุปกรณ์ที่ได้รับผลกระทบจาก Broadcom WPSplinter ในคลัง GitHub ของผู้วิจัย (ตรวจเมื่อ 22 ตุลาคม 2026) มีคอลัมน์ผู้ให้บริการอินเทอร์เน็ตที่ใช้อุปกรณ์แต่ละรุ่น และมีชื่อที่เกี่ยวกับไทยดังนี้

| อุปกรณ์ | รุ่นเฟิร์มแวร์ในรายชื่อ | ยืนยันแล้ว | ชื่อในคอลัมน์ผู้ให้บริการที่น่าจะเกี่ยวกับไทย |
| --- | --- | --- | --- |
| ZTE F680 v4 | ALL | Y | ThailandToT, Ais |
| Nokia G-140W-H, G-240W-A/B/C/F/G/J | ? | Y | True Internet |

![แถว ZTE F680 v4 ในตารางอุปกรณ์ของคลัง GitHub qkaiser/broadcom-wps ระบุรุ่น ALL ยืนยันแล้ว และมี ThailandToT กับ Ais อยู่ในรายชื่อผู้ให้บริการ](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/broadcom-wpsplinter-wi-fi-router-flaw-16-years/wpsplinter-github-zte-f680-thailand.webp?v=35650d47) _(ภาพ: GitHub / Quentin Kaiser (ภาพหน้าจอ))_

ชื่อผู้ให้บริการในตารางสะกดตามต้นฉบับ ผู้วิจัยไม่ได้ระบุชื่อเต็มหรือประเทศของแต่ละราย และข้อมูลนี้เป็นรายชื่อที่ผู้วิจัยและผู้ร่วมรายงานรวบรวมไว้ ไม่ใช่ประกาศของผู้ให้บริการ หน้าเอกสารของผู้วิจัยระบุว่ารายการนี้ไม่ได้รับประกันว่าฮาร์ดแวร์หรือเฟิร์มแวร์ทุกรุ่นย่อยมีช่องโหว่ และแถวของ Nokia ไม่ได้ระบุรุ่นเฟิร์มแวร์ ณ วันที่เขียน เรายังไม่พบประกาศจากผู้ให้บริการในไทยเกี่ยวกับ Broadcom WPSplinter ลูกค้าที่ใช้อุปกรณ์รุ่นเหล่านี้ควรสอบถามผู้ให้บริการของตนโดยตรง

## ทำไม Broadcom WPSplinter ไม่มี CVE และไม่มีแพตช์ที่ใช้ได้ทุกเครื่อง

ตามบล็อกของ Kaiser ทาง Broadcom ออกแพตช์แบบเงียบในปี 2018 แต่แก้ไม่ครบ จากนั้นออก SDK รุ่นใหม่ที่เปลี่ยนส่วนประกอบที่มีช่องโหว่ไปใช้ hostapd และแนะนำให้ผู้ผลิตย้ายไปรุ่นนี้ Broadcom ยอมรับกับผู้วิจัยว่ารู้เรื่องบั๊กนี้มาตั้งแต่ปี 2018 และเคยได้รับรายงานจากภายนอกมาก่อน แต่ปฏิเสธการออก CVE โดยระบุว่าซอฟต์แวร์ล้าสมัยและพ้นช่วงการสนับสนุน Kaiser มองว่าการไม่สื่อสารต่อสาธารณะน่าจะเป็นเหตุผลที่ผู้ผลิตจำนวนมากไม่ได้แพตช์

| วันที่ (ปี 2026) | เหตุการณ์ตามบล็อกของผู้วิจัย |
| --- | --- |
| 18 กรกฎาคม | ส่งรายงานช่องโหว่บน BCM3380, BCM3383 และ BCM33834 ให้ Broadcom PSIRT เริ่มนับ 90 วัน |
| 27 กรกฎาคม | ส่งรายงานช่องโหว่บน BCM3390, BCM65xx และ BCM68xx |
| 28 กรกฎาคม | Broadcom ตอบว่ามีแพตช์แล้ว และให้ผู้วิจัยแจ้งผู้ผลิตที่พบให้ติดต่อ Broadcom |
| 29 กรกฎาคม | Broadcom ปฏิเสธการออก CVE ผู้วิจัยแจ้ง Proximus, พยายามติดต่อ Orange Belgium และ VOO และส่งรายงานให้ Cyber Security Center Belgium |
| 4 สิงหาคม | เปิดเคสที่ CERT/CC ผ่าน VINCE แต่ถูกปิดวันเดียวกัน เพราะ Broadcom เป็นผู้ออก CVE เองและไม่ยอมลงทะเบียน |
| 16 ตุลาคม | นำเสนอที่ Hexacon ในปารีส |
| 20 ตุลาคม | อัปเดตสถานะของผู้ให้บริการในเบลเยียม |

Kaiser ระบุด้วยว่าใช้ AI รุ่นแนวหน้า (frontier model) ช่วยวิจัย ซึ่งทำให้งานที่เขาคาดว่าต้องใช้หลายเดือนเสร็จในเวลาไม่ถึงสัปดาห์

## ผู้ให้บริการในเบลเยียมรับมือ Broadcom WPSplinter ด้วยการปิด WPS

ผู้วิจัยสาธิตว่าช่องโหว่มีอยู่และโจมตีได้จริงบนเกตเวย์ของผู้ให้บริการ 3 ใน 4 รายในเบลเยียม ได้แก่ Proximus (BBOX 3V+), VOO (Netgear CG3100, Netgear CG3700, Technicolor 7210 และ CGA4233) และ Orange Belgium (ASKEY TCG3000) อัปเดตวันที่ 20 ตุลาคมในบล็อกระบุจากการติดต่อโดยตรงกับผู้ให้บริการว่า

- **Telenet ไม่ได้รับผลกระทบ** วิศวกรตรวจอุปกรณ์ทั้งหมดแล้วไม่พบ wps_monitor ทำงานอยู่
- **Proximus ปิด WPS บน BBox ทุกเครื่อง**ภายใน 24 ชั่วโมงก่อนหน้า และจะแพตช์เต็มรูปแบบในอีกไม่กี่สัปดาห์
- **Orange Belgium กำลังตรวจสอบ** และพิจารณาปิด WPS ทั้งโครงข่ายที่ได้รับผลกระทบ

![อัปเดต 20 ตุลาคม 2026 ในบล็อกของ Quentin Kaiser ระบุว่า Telenet ไม่ได้รับผลกระทบ Proximus ปิด WPS ทุกเครื่อง และ Orange Belgium กำลังตรวจสอบ](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/broadcom-wpsplinter-wi-fi-router-flaw-16-years/wpsplinter-belgium-isp-update.webp?v=4c1c8226) _(ภาพ: Quentin Kaiser (ภาพหน้าจอ))_

Kaiser และเพื่อนประเมินจำนวนเกตเวย์ที่ได้รับผลกระทบจาก Broadcom WPSplinter ในเบลเยียมจากข้อมูลที่ IBPT เผยแพร่และการประกาศรุ่นอุปกรณ์ของผู้ให้บริการ โดยบอกว่ามั่นใจในตัวเลขระดับปานกลาง ได้แก่ Proximus ราว 850,000 เครื่องจากผู้ใช้บริการ 2,318,000 ราย, VOO (อุปกรณ์รุ่นเก่า) 500,000 เครื่องจากผู้ใช้บริการราว 500,000 ราย และ Orange Belgium 210,000 เครื่องจากผู้ใช้บริการราว 547,000 ราย

![กราฟประมาณการของผู้วิจัย: เกตเวย์ที่ได้รับผลกระทบจาก Broadcom WPSplinter ในเบลเยียม Proximus 850,000 VOO 500,000 และ Orange Belgium 210,000 เครื่อง](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/broadcom-wpsplinter-wi-fi-router-flaw-16-years/wpsplinter-belgium-estimate.webp?v=3d372d32) _(ภาพ: THAI DATA (ข้อมูล: Quentin Kaiser))_

## ทำไมเรื่องนี้สำคัญ

Broadcom WPSplinter อยู่ในชิ้นส่วนซอฟต์แวร์ที่ผู้ผลิตหลายสิบรายนำไปใช้ร่วมกัน Kaiser สรุปว่าบั๊กที่เกิดในปี 2010 และมีแพตช์ในปี 2018 ยังอยู่ในอุปกรณ์ที่ผู้ผลิตขายและผู้ให้บริการใช้งานจริงในปี 2026 ช่องว่างระหว่างช่วงการสนับสนุนของผู้ผลิตชิปกับอายุใช้งานของอุปกรณ์จึงกลายเป็นโอกาสของผู้โจมตี เขาชี้ด้วยว่าช่องโหว่แบบนี้เหมาะกับการโจมตีจากเครือข่ายใกล้เคียง (nearest-neighbour attack) และการเจาะเครือข่ายโรงแรม ซึ่งเป็นการโจมตีแบบเจาะจงเป้าหมายผ่านคลื่นบนอุปกรณ์ที่ฝ่ายป้องกันมองเห็นได้น้อยมาก

เรื่องนี้ต่างจากช่องโหว่ในอุปกรณ์ขอบเครือข่ายองค์กรอย่าง [CVE-2026-0257 ใน GlobalProtect ของ PAN-OS](/security/pan-os-cve-2026-0257-globalprotect-qilin-inc-ransomware/) ตรงที่ผู้โจมตีต้องอยู่ในระยะสัญญาณ แต่ก็ไม่ต้องผ่านอินเทอร์เน็ตหรือไฟร์วอลล์เลย สำนักงานสาขา ร้านค้า และพนักงานที่ทำงานจากบ้านด้วยเราเตอร์ของผู้ให้บริการจึงเป็นจุดที่ต้องดู

## สิ่งที่องค์กรไทยควรทำ

- **ทำรายการเราเตอร์และ access point ทุกเครื่อง** รวมเกตเวย์ที่ผู้ให้บริการติดตั้งให้ที่สาขาและบ้านพนักงาน แล้วเทียบกับรายชื่อในหน้า WPSplinter และคลัง GitHub ของผู้วิจัย โดยจำไว้ว่ารายชื่อยังไม่ครบ
- **ถามผู้ผลิตหรือผู้ให้บริการอินเทอร์เน็ตโดยตรง** ว่าเฟิร์มแวร์ของรุ่นที่ใช้แก้ Broadcom WPSplinter แล้วหรือยัง เพราะผู้วิจัยระบุว่าทางแก้คือเฟิร์มแวร์ใหม่จากผู้ผลิตหรือผู้ให้บริการเท่านั้น ผู้ที่ใช้ ZTE F680 v4 หรือ Nokia G-240W ของผู้ให้บริการในไทยควรถามเป็นลำดับแรก
- **ปิด WPS ได้ แต่อย่าถือว่าจบ** ผู้วิจัยเตือนว่าสวิตช์ในหน้าตั้งค่าอาจไม่ได้ปิดตัวแยกวิเคราะห์ที่มีช่องโหว่ทั้งหมด การปิดระดับเครือข่ายแบบที่ Proximus ทำเป็นเรื่องที่ผู้ให้บริการต้องยืนยันเอง
- **ทีมที่มีความเชี่ยวชาญตรวจเองได้** ด้วยกฎ YARA สำหรับไฟล์เฟิร์มแวร์ หรือสคริปต์ตรวจลายพิมพ์ (fingerprinting) ผ่านคลื่นที่ผู้วิจัยเผยแพร่ ใช้เฉพาะกับอุปกรณ์ขององค์กรเอง และผู้วิจัยย้ำว่าผลเป็นเพียงตัวช่วยคัดกรองที่ต้องยืนยันกับเฟิร์มแวร์จริง
- **วางแผนเปลี่ยนอุปกรณ์ที่ไม่มีทางแพตช์** โดยเฉพาะอุปกรณ์บนแพลตฟอร์ม eCos ที่ผู้วิจัยระบุว่าอาจไม่มีทางย้ายไป SDK ใหม่ ติดตามข่าวเครือข่ายอื่นได้ที่[หมวด Network](/network/)

## คำถามที่พบบ่อย

### Broadcom WPSplinter คืออะไร?

Broadcom WPSplinter คือชื่อที่ผู้วิจัย Quentin Kaiser ตั้งให้ช่องโหว่ใน WPS Monitor ของ Broadcom ซึ่งรวมชิ้นข้อความ EAP-WPS โดยไม่จำกัดขนาดให้พอดีกับหน่วยความจำปลายทาง ผู้โจมตีในระยะสัญญาณ Wi-Fi จึงอ่านหน่วยความจำและรันโค้ดบนอุปกรณ์ได้โดยไม่ต้องรู้รหัสผ่าน เปิดเผยที่งาน Hexacon เมื่อ 16 ตุลาคม 2026

### Broadcom WPSplinter มีหมายเลข CVE หรือไม่?

Broadcom WPSplinter ไม่มีหมายเลข CVE เพราะ Broadcom ปฏิเสธการขอ CVE โดยระบุว่าซอฟต์แวร์ที่มีช่องโหว่ล้าสมัยและพ้นช่วงการสนับสนุนแล้ว ชื่อ WPSplinter จึงเป็นชื่อที่ผู้วิจัยตั้งเองอย่างไม่เป็นทางการ ส่วน CERT/CC ปิดเคสที่ผู้วิจัยเปิดไว้ในวันเดียวกันเพราะ Broadcom เป็นผู้ออก CVE เองและไม่ยอมลงทะเบียน

### ปิด WPS ในหน้าตั้งค่าเราเตอร์แล้วป้องกัน Broadcom WPSplinter ได้หรือไม่?

หน้าเอกสาร Broadcom WPSplinter ของผู้วิจัยแนะนำว่าอย่าเพิ่งมั่นใจ เพราะสวิตช์ในหน้าตั้งค่าอาจไม่ได้ถอดหรือปิดตัวแยกวิเคราะห์ที่มีช่องโหว่ได้ทั้งหมด ควรถามผู้ผลิตหรือผู้ให้บริการอินเทอร์เน็ตว่ามีเฟิร์มแวร์ที่แก้ปัญหานี้หรือไม่

### อุปกรณ์ยี่ห้อใดได้รับผลกระทบจาก Broadcom WPSplinter?

รายชื่ออุปกรณ์ที่ได้รับผลกระทบจาก Broadcom WPSplinter ของผู้วิจัยมีจากหลายผู้ผลิต เช่น Cisco RV110W, RV130W และ WAP571, TP-Link Archer C3150 และ C5400, Huawei B310 และ B315, Netgear CG3100, Askey TCG3000 และ ZTE F680 v4 แต่รายชื่อยังไม่ครบ และชิปที่ตรงกันอย่างเดียวไม่ได้ยืนยันว่าเฟิร์มแวร์นั้นมีช่องโหว่


## แหล่งอ้างอิง

- [WPSplinter: Broadcom WPS EAP fragment reassembly vulnerability](https://qkaiser.github.io/broadcom-wps/) — Quentin Kaiser
- [One Parser, Two Bugs, Many Routers: Exploiting Broadcom WiFi Across eCos and Linux](https://quentinkaiser.be/security/2026/10/16/one-parser-two-bugs/) — Quentin Kaiser
- [Broadcom 802.11 SDK Detection Toolkit (qkaiser/broadcom-wps)](https://github.com/qkaiser/broadcom-wps) — GitHub / Quentin Kaiser