La vulnerabilidad WPSplinter en routers Broadcom: cómo trabajar con seguridad en una red que no puedes comprobar

La contraseña del Wi-Fi suele verse como la cerradura de la red: quien no la tiene se queda fuera. Esa idea también te acompaña en un hotel, en un alojamiento vacacional o en la oficina de un cliente. En todos esos lugares te conectas a un router que otra persona ha instalado y mantiene. Una investigación publicada este mes muestra que, en muchos routers con chips de Broadcom, alguien que esté dentro del alcance de la señal Wi-Fi puede tomar el control del router sin conocer la contraseña. Es un motivo para cambiar de criterio: no confiar en la red local, sino proteger el tráfico antes de que llegue a ella.

Qué se ha descubierto

La vulnerabilidad. El investigador Quentin Kaiser publicó sus hallazgos el 16 de octubre de 2026 sobre una vulnerabilidad llamada WPSplinter. Se encuentra en la implementación de WPS de Broadcom, la función que permite conectar un dispositivo a una red inalámbrica pulsando un botón, sin escribir una contraseña. Según el investigador, el código vulnerable está en el kit de software de Broadcom al menos desde 2010. Puede activarse a distancia por Wi-Fi, sin la clave de la red y sin completar el emparejamiento WPS habitual. La vulnerabilidad permite extraer información de la memoria del router y ejecutar código en él, es decir, controlarlo. En una de sus demostraciones, el investigador extrajo la contraseña del Wi-Fi de un router de Orange Belgium y la utilizó para conectarse a la red. En un router de Proximus abrió un canal de control remoto a través del propio Wi-Fi. Según explica, el ataque también funciona a gran distancia.

El alcance. Según el investigador, el problema afecta a decenas de fabricantes, cientos de productos y millones de puntos de acceso en todo el mundo: los dispositivos que emiten la señal Wi-Fi. En los chips antiguos que ejecutan el sistema operativo eCos (BCM3380, BCM3383, BCM33834), lo define como una vulnerabilidad de tipo forever day: no se espera que reciba una corrección. En los chips basados en Linux, como BCM3390, BCM65xx y BCM68xx, solo es posible corregirla si el fabricante del dispositivo cambia a otro componente de software.

Por qué no hay una corrección. Según el investigador, Broadcom publicó una corrección parcial en 2018 sin anunciarla públicamente y recomendó a los fabricantes que pasaran a una versión nueva del kit de software. Afirma que la empresa se negó a asignar a la vulnerabilidad un número CVE, el identificador público que utilizan proveedores y administradores de redes para seguir las vulnerabilidades. Considera que ese es el motivo por el que muchos fabricantes no la corrigieron. A fecha del 15 de octubre, ninguno de los dispositivos vulnerables que había identificado había recibido una actualización.

Bélgica como caso de estudio. El investigador demostró la vulnerabilidad en routers de tres de los cuatro mayores proveedores de internet de Bélgica. Calcula que afecta a cientos de miles de routers de cada uno de ellos. Calificó como medio el nivel de confianza de esa estimación. En una actualización del 20 de octubre escribió que Proximus había desactivado WPS a distancia en todos sus routers como medida provisional y que completaría la actualización en las semanas siguientes. También indicó que Orange Belgium estaba estudiando una medida similar y que el cuarto proveedor, Telenet, no estaba afectado. Algunas noticias señalaron que Telenet podía estar afectado; la actualización del investigador aclara que no lo está. El investigador subraya que el problema no se limita a Bélgica.

Una advertencia oficial. El equipo de respuesta a emergencias de ciberseguridad de Tailandia, ThaiCERT, publicó una alerta que señala como riesgo principal la explotación dirigida de la vulnerabilidad desde el alcance de la señal, también en redes públicas y hoteles. El motivo es que los routers reciben poca atención al supervisar la seguridad de la red. La alerta recomienda identificar los modelos de los dispositivos, estar pendiente de las actualizaciones de firmware —el software integrado en el router— del fabricante o del proveedor, y plantearse sustituir los dispositivos de líneas de productos que no puedan corregirse.

La lista ampliada. Según The Hacker News, una lista más amplia publicada por el investigador incluye, entre otros, puntos de acceso de Cisco para pequeñas empresas y routers de Huawei y ARRIS. Sin embargo, la lista contiene tanto modelos cuya vulnerabilidad se ha confirmado como otros marcados solo como «probablemente vulnerables» mediante una comprobación automática. Según esa misma noticia, el investigador no informó de ataques reales; las demostraciones son suyas.

Qué significa para ti

La contraseña ya no determina quién está dentro. La mayoría de las recomendaciones para proteger una red doméstica empiezan y terminan con una contraseña segura. Esta vulnerabilidad permite prescindir por completo de ella: quien esté dentro del alcance de la señal no necesita adivinar nada. En la demostración del investigador se robó la propia contraseña.

La corrección no depende de ti. El router que tu proveedor de internet instaló en casa suele pertenecer al proveedor, y su firmware solo se actualiza cuando este lo decide. La corrección del código vulnerable debe pasar por el fabricante del chip, el fabricante del router y el proveedor antes de llegar a tu casa. En este caso, según el investigador, el fallo existe desde hace 16 años, y la corrección parcial de 2018 no llegó a los dispositivos vulnerables que identificó. Sin un número CVE, también resulta más difícil para ti o para tu responsable de informática hacer una pregunta sencilla: «¿Mi dispositivo está actualizado para corregir esta vulnerabilidad?».

La mayoría de las redes que utilizas no son tuyas. En un hotel, un piso de alquiler, una oficina compartida o las instalaciones de un cliente, no tienes forma de saber qué chip lleva el router ni cuándo se actualizó por última vez. El propio investigador señala que estas vulnerabilidades son especialmente adecuadas para ataques de un «vecino cercano» y para entrar en redes de hoteles. ThaiCERT también señala esos escenarios. Por eso, lo práctico es asumir que cualquier red local puede estar comprometida, incluida la de casa.

Qué puede hacer quien controla el router. Todo tu tráfico pasa por el router. Según el investigador, controlarlo permite recopilar ese tráfico y modificarlo. Quien lo controle puede leer todo lo que pase por él sin cifrar y ver a qué sitios web se conectan los dispositivos. También puede cambiar las respuestas del DNS —el servicio que traduce el nombre de un sitio web a una dirección numérica— para dirigirte a un sitio falso. Con la contraseña obtenida y desde su posición en la red, puede intentar acceder también a otros dispositivos de casa o de la oficina, como cámaras, impresoras y ordenadores.

La protección debe empezar en el dispositivo. Conviene cifrar el tráfico en el propio dispositivo, antes de que pase por el router. Cuando el dispositivo envía todo el tráfico, incluidas las consultas DNS, por un túnel cifrado a un servidor en el que confías, quienes estén en la red local no pueden leer el contenido que circula por ella. El router se atiende por separado: se actualiza y, si hace falta, se sustituye. Las dos medidas se complementan.

Probablemente no sea la última vez. El investigador escribe que el trabajo habría llevado meses, pero que, con ayuda de modelos avanzados de inteligencia artificial, se completó en menos de una semana. A nuestro juicio, esto significa que el código antiguo de routers y dispositivos domésticos se analizará más rápido que antes y que se publicarán más hallazgos. No es un motivo para alarmarse, sino para adoptar hábitos que no dependan de que todos los routers por los que pase la conexión estén actualizados.

¿Y en Israel? El investigador señala que los fabricantes afectados también operan en mercados fuera de Bélgica. Por eso es mejor comprobarlo que darlo por hecho.

Qué hacer ahora

• Identifica tu router. El modelo suele aparecer en una etiqueta en la parte inferior del dispositivo. Comprueba si figura en la lista de dispositivos a la que el investigador enlaza desde su publicación. Según The Hacker News, algunos modelos de la lista solo se marcaron como «probablemente vulnerables».
• Pregunta directamente al proveedor. ¿Mi router está afectado por la vulnerabilidad en chips de Broadcom publicada en octubre de 2026 (WPSplinter)? ¿Cuándo llegará una actualización de firmware? ¿Habéis desactivado WPS a distancia como medida provisional, tal como hizo Proximus?
• Sustituye los equipos que ya no reciben soporte. Si tu router utiliza uno de los chips con eCos de la lista, o si el proveedor no se compromete a actualizarlo, pide que lo sustituyan o considera cambiar a un router con soporte.
• Desactiva WPS si no lo utilizas, solo como medida adicional. Según The Hacker News, el investigador no señaló ningún ajuste que bloquee el ataque. Por tanto, actualizar o sustituir el router siguen siendo las medidas principales.
• Cambia la contraseña del Wi-Fi después de actualizar o sustituir el router, porque la demostración mostró que es posible extraerla de él.
• Cifra el tráfico en todas las redes, también en casa. Mantén una VPN activa en el teléfono y el ordenador de forma habitual. En un hotel, un piso de alquiler o las instalaciones de un cliente, conéctate a ella antes de hacer cualquier otra cosa. Puedes comprobar que la conexión está activa en la página Cuál es mi dirección IP.
• Activa la autenticación en dos pasos en las cuentas importantes, para que una contraseña expuesta no baste por sí sola.
• Para empresas: haz un inventario de todos los routers y puntos de acceso de la oficina, incluidos los equipos para pequeñas empresas. Pide a tu proveedor de servicios informáticos que los coteje con la lista y deje constancia de cuáles se han actualizado.

Cómo ayuda nuVPN

• Cifrado desde el dispositivo. Con nuVPN, el tráfico se cifra antes de salir del dispositivo y quienes estén en la red no pueden leerlo. Viaja por un túnel cifrado hasta un servidor que solo tú utilizas.
• DNS dentro del túnel. Todas las consultas DNS pasan por el túnel cifrado. Así, la lista de sitios web a los que accedes también permanece dentro de él.
• Kill Switch. Si el túnel se desconecta, la conexión se bloquea. Así, el tráfico no sigue saliendo fuera del túnel sin que te des cuenta.
• Tu propio servidor y dirección IP. En el plan dedicado recibes un servidor privado y una dirección IP fija, sin usuarios ajenos en la conexión y sin una superficie de ataque compartida.
• Modo de protección reforzada. Un protocolo avanzado que añade una capa de protección y resulta especialmente adecuado para redes Wi-Fi públicas y redes que no son de confianza.
• Protección nuDefend, incluida en todos los planes. Los sitios web que el dispositivo localiza a través de nuVPN se comprueban frente a una lista de más de 340,000 sitios peligrosos conocidos. Cada conexión se comprueba, tanto a la entrada como a la salida, frente a unas 50,000 direcciones de atacantes conocidos. Las listas se actualizan a diario, y en el área personal se muestra el número de amenazas que se han bloqueado para ti.
• Protección para toda la casa con tu propio router. Puedes dejar los routers de los proveedores de internet tal como están. La solución sencilla es conectarles un pequeño router de viaje, al que se conectarán los dispositivos. nuVPN en el router también protege televisores, consolas y cámaras en los que no se puede instalar una aplicación, desde el momento en que se conectan a su Wi-Fi.
• Para equipos de trabajo. nuVPN para empresas proporciona a todo el equipo un único servidor dedicado con IP fija, un túnel cifrado y bloqueo integrado de dominios de phishing y malware para cada dispositivo, desde cualquier lugar donde se conecten los empleados.

En resumen

WPSplinter recuerda que el router de casa, de la oficina o del hotel es un dispositivo que la mayoría no podemos comprobar ni actualizar por nuestra cuenta. Según el investigador, hay millones de puntos de acceso afectados, y no se espera una corrección para algunos de ellos. En lugar de alarmarse, se puede actuar en dos frentes a la vez: comprobar tu router, exigir una actualización y sustituir los equipos que ya no reciben soporte; y cifrar el tráfico en el propio dispositivo en cualquier red a la que te conectes.