Celah 16 Tahun di Router Broadcom: Password Wi-Fi Tak Lagi Menjadi Pelindung

Sebuah kelemahan pada perangkat lunak Wi-Fi Broadcom yang telah ada sejak setidaknya 2010 menjadi peringatan serius bagi jutaan pengguna router: penyerang yang berada dalam jangkauan sinyal dapat mengambil alih perangkat tanpa perlu mengetahui kata sandi jaringan. Temuan ini dipresentasikan oleh peneliti keamanan Quentin Kaiser dalam ajang Hexacon, dan karena tidak ada nomor CVE yang diterbitkan, ia memberinya nama tidak resmi “WPSplinter”.

Inti masalahnya terletak pada komponen bernama WPS Monitor, bagian dari fitur Wi-Fi Protected Setup yang memungkinkan koneksi cepat lewat tombol. Ketika pesan WPS tiba dalam bentuk terfragmentasi, perangkat lunak menyatukannya kembali tanpa memverifikasi apakah ukuran hasil gabungan masih sesuai dengan ruang memori yang dialokasikan. Akibatnya, penyerang bisa membaca isi memori router dan menjalankan kode berbahaya sepenuhnya melalui frame Wi-Fi, bahkan sebelum proses pairing selesai.

Kaiser mendemonstrasikan serangan pada dua perangkat yang beredar di Belgia. Pada gateway Askey TCG3000 yang disediakan operator Orange Belgium, kode yang ia kembangkan berhasil mengekstrak kata sandi Wi-Fi dari penyimpanan router dan mengirimkannya melalui udara; kata sandi itu kemudian dipakai untuk menyusup ke jaringan. Pada perangkat Proximus BBOX3V+ buatan Sagemcom, ia membuka shell jarak jauh yang berjalan sepenuhnya di atas frame Wi-Fi. Menurut catatannya, serangan dapat dilakukan dari jarak cukup jauh, meski ia belum mempublikasikan angka pastinya. “Anda bisa mendapatkan root shell dari seberang jalan,” ujarnya menggambarkan dampaknya pada sebagian besar router di Belgia.

Kronologi pengungkapan menjadi sorotan tersendiri. Kaiser melaporkan temuan itu kepada Broadcom pada Juli 2026, memulai hitungan 90 hari sebelum publikasi. Pada 28 Juli, Broadcom membalas bahwa tambalan sudah tersedia dan memintanya menghubungi produsen perangkat yang terdampak. Perusahaan asal Amerika Serikat itu juga mengaku telah mengetahui masalah tersebut sejak 2018 dan sejak saat itu mulai mengganti WPS Monitor dengan perangkat lunak open-source hostapd. Namun, menurut Kaiser, tambalan tahun 2018 tidak lengkap dan diedarkan secara senyap, sementara solusi sebenarnya adalah kit perangkat lunak baru yang sama sekali meninggalkan komponen rentan—sebuah langkah yang hanya efektif jika produsen perangkat benar-benar melakukan migrasi.

Yang lebih mengkhawatirkan, tidak semua chip Broadcom memiliki jalur perbaikan. Untuk chip lama berbasis eCos, tidak ada cara untuk memperbarui perangkat lunak, sehingga Kaiser menyebutnya sebagai “forever day”: cacat yang tidak akan pernah ditambal. Sementara itu, chip berbasis Linux seperti BCM3390, BCM63xx, BCM65xx, dan BCM68xx masih bisa diperbaiki, tetapi sangat bergantung pada kemauan masing-masing produsen untuk melakukan porting, bahkan untuk produk yang sudah lama tidak dijual. Hingga kini, Broadcom belum menerbitkan advisory resmi, dan posisinya hanya diketahui dari korespondensi yang dipublikasikan Kaiser.

Penolakan Broadcom untuk mengajukan CVE menuai pertanyaan tentang tata kelola pengungkapan kerentanan. Sebagai CVE Numbering Authority, Broadcom memiliki kewenangan untuk memutuskan apakah cacat pada produknya layak mendapat identitas resmi. Dalam kasus ini, perusahaan memilih tidak, dengan alasan perangkat lunak sudah usang dan di luar masa dukungan. Langkah tersebut dinilai memperlambat koordinasi antarprodusen dan membuat pengguna sulit memantau apakah perangkat mereka terdampak.

Bagi pengguna rumahan dan pelaku usaha di Indonesia, implikasinya cukup nyata. Banyak router yang dipasarkan secara lokal menggunakan chip Broadcom generasi lama, terutama perangkat yang disediakan oleh penyedia layanan internet atau dijual sebagai solusi hemat biaya. Karena serangan terjadi sebelum proses autentikasi, mengganti kata sandi Wi-Fi tidak akan menolong. Menonaktifkan WPS melalui menu pengaturan juga belum tentu efektif, karena menurut dokumentasi Kaiser, “sakelar pengaturan mungkin tidak menghapus atau menonaktifkan parser yang rentan sepenuhnya.” Satu-satunya jalan keluar adalah pembaruan firmware dari produsen atau operator, atau mengganti perangkat secara total bila chip yang digunakan sudah tidak didukung.

Kaiser mengakui bahwa alat bantu kecerdasan buatan mempercepat riset ini dari hitungan bulan menjadi kurang dari sepekan; laporan Cybernews menyebut ia memakai agen Codex dari OpenAI. Namun, teknologi yang sama juga tersedia bagi penyerang. Ia menilai akses nirkabel yang sulit dipantau seperti ini sangat ideal untuk operasi tertarget, misalnya kelompok APT28 yang dikaitkan dengan Rusia menggunakan Wi-Fi organisasi tetangga untuk mencapai target, atau Midnight Blizzard yang membajak portal login Wi-Fi hotel untuk menginfeksi pelancong.

Ini bukan pertama kalinya chip Broadcom menjadi pusat masalah keamanan Wi-Fi. Pada 2020, cacat Kr00k sempat mengguncang industri, meski produsen perangkat kemudian menerbitkan CVE dan tambalan. Pola yang berulang menunjukkan bahwa perangkat yang sudah tidak didukung cenderung menjadi infrastruktur pihak lain, sebagaimana diperingatkan FBI pada Mei 2025. Pertanyaannya kini: seberapa cepat operator dan produsen di Indonesia mau memeriksa apakah firmware router yang mereka distribusikan masih mengandung kode WPS Monitor warisan Broadcom, sebelum celah berusia 16 tahun ini benar-benar menjadi pintu masuk yang tak terkunci?