漏洞没人管，百万路由器裸奔

巴黎的安全会议现场，一位研究员对着大屏幕，在没有输入任何密码的情况下，把一台路由器彻底拿下。

10月19日，科技媒体cyberkendra报道，安全研究人员昆汀·凯泽（Quentin Kaiser）在巴黎Hexacon安全会议上披露了博通Wi-Fi软件中的WPSplinter漏洞：攻击者无需Wi-Fi密码、无需完成WPS配对，只要处在无线信号覆盖范围内，就能远程控制部分路由器，并取得最高root权限。据现场演示与后续报道，受影响设备横跨TP-Link、思科、诺基亚、中兴通讯|ZTE、Sagemcom、网件|Netgear等多个品牌和运营商网络，研究人员估计全球可能有数百万台基于博通芯片的无线接入点中招。

比漏洞本身更值得警惕的，是它的处置状态：没有CVE编号，厂商称软件已过支持期，截至10月15日，凯泽测试的设备均未收到补丁。这不是一个孤立的漏洞故事，而是路由器供应链安全责任的一次系统性失灵。

🎤 现场那一分钟：威胁模型的改写

演示越干净，问题越严重。

先还原一下场景。Hexacon是欧洲颇具声望的攻防安全会议，昆汀·凯泽选择在这里公开演示，本身就是一种表态：这个漏洞不是理论推演，而是可以稳定复现的实战武器。

演示的关键点有三层：

• 无需Wi-Fi密码——传统上，攻击家庭网络的前提是先拿到凭证，比如钓鱼、猜解或物理接触；
• 无需完成WPS配对——WPS（Wi-Fi Protected Setup）是路由器的快捷配网功能，让设备不输密码也能接入，过去针对它的攻击多围绕配对流程的PIN验证；
• 拿到root权限——这已经不是“蹭网”，而是完全接管设备：改DNS、监听流量、把路由器变成跳板，都只是后续动作。

用攻击链来看，整个过程被压缩到了极致：

这组动作意味着，路由器安全的威胁模型被改写了。过去我们默认“家里的Wi-Fi只要密码够强就基本安全”，攻击者必须先突破接入这一关。而现在，接入关卡本身成了入口，密码形同虚设。

更具讽刺意味的是，WPS这个功能的初衷是“降低用户配网门槛”。当年它为了方便，把一部分安全验证逻辑让渡了出去；十几年后，让渡的部分成了整台设备的软肋。便利性设计埋下的债，最终由所有用户一起偿还。

对普通家庭如此，对企业与运营商网络同样如此。一台被root的路由器在内网中的价值，远高于它本身的售价——它可以是持久化驻留的据点，也可以是横向移动的起点。

🔍 解剖WPSplinter：一笔欠了十五年的代码债

漏洞从来不是凭空出现的，它只是被定时释放。

按IT之家援引的披露信息，WPSplinter存在于博通专有的WPS Monitor组件中，而这个组件至少自2010年起就用于博通的802.11软件开发套件（SDK）。

技术根源并不神秘：在拆分设备并重组以传输WPS消息时，代码未充分限制数据长度，可能导致缓冲区溢出和内存破坏，攻击者可借此进一步执行任意代码。这是最经典的内存安全缺陷类型——不是什么需要顶尖密码学功底的难题，而是“边界检查没做够”这种最朴素的错误。

但朴素的错误，放在特殊的产业位置上，杀伤力会被指数级放大：

这就是芯片级SDK的独特属性：一处代码，千处复用。博通Wi-Fi芯片在路由器市场占有重要地位，其SDK被下游ODM和品牌广泛集成。凯泽在2010年的代码里留下的这颗雷，随着此后十五年的出货，被复制进了不同品牌、不同价位、不同世代的设备里。研究人员也坦言，受影响型号清单并不完整，不同硬件版本和固件的风险程度也不同，换句话说，爆炸半径目前根本算不清。

这里有一个行业普遍低估的问题：消费路由器的软件生命周期，远比我们想象的长。一台2013年出厂的路由器，2026年可能还在某个家庭的客厅里默默转发流量。硬件不坏，用户就不换；而厂商的支持期通常三五年就结束了。中间这段“硬件活着、软件死了”的窗口期，就是安全债集中爆发的雷区。

WPSplinter不过是把这笔账，一次性摆到了桌面上。

⚠️ 没有CVE编号的漏洞，才是最危险的漏洞

修不补是一回事，连‘登记在案’都做不到，是另一回事。

这起事件最反常的细节，藏在处置流程里，而双方表态的对照，恰恰构成了这起事件最有信息量的部分：

• 博通的表态：相关软件已过支持期（EOL），并表示曾有修复方案；
• 研究人员的反驳：该修复方案不完整；
• 硬事实：截至10月15日，凯泽测试的设备均未收到补丁；
• 流程缺口：漏洞目前没有CVE编号。

把这四条摆在一起看，逻辑链条是闭合的：博通以EOL为由划清责任，同时抛出一个“曾有修复方案”作为挡箭牌；但凯泽的实测结果表明，这个方案没有真正落到任何一台设备上——“不完整”的修复，等于修复只存在于纸面上。前三条已经够糟了，第四条才是真正的釜底抽薪。

CVE是全球漏洞的“通用身份证”，企业安全团队做资产风险管理，第一件事就是拿CVE编号去比对自家资产。一个没有CVE编号的高危漏洞，在绝大多数企业的扫描器和风险台账里等于不存在，尽管它在攻击者的工具箱里真实存在。于是形成了一个荒诞的局面：安全研究人员知道它危险，攻击者可以照着演示复现，而防御体系因为“查无此洞”而无从设防。

再看责任链条。路由器从芯片到用户手里，要经过博通（芯片+SDK）→ ODM（整机设计）→ 品牌（固件打包与发布）→ 运营商/渠道（部分场景）多个环节。底层SDK闭源，品牌方拿不到源码，想自己修也修不了，只能等上游；上游一句“已过支持期”，就把球踢了回去。每个环节都有一半道理，合起来就是无人负责。

至于各品牌的风险分布，目前披露信息中只有受影响厂商名单，没有各家的响应数据，所以只能做作者推测层面的定性分析：思科这类企业线厂商历来有较成熟的固件更新体系，响应预期可能更好；而运营商定制设备出货量大、生命周期长、固件更新依赖运营商推送，历史上恰恰是更新最慢的一批——这类设备受影响规模大、修复慢，可能是风险最集中的区域；TP-Link、ZTE、Netgear等消费级品牌介于两者之间，取决于各自固件发布节奏。需要强调，以上排序纯属推演，实际情况要等各厂商陆续表态才能验证。现阶段唯一确定的，是“所有人都在等补丁，而补丁还没有来”。

🧩 冰山之下：路由器安全是一场公地悲剧

用户看不见的东西，往往才是事故的真正来源。

把这次事件拆开看，水面上的部分清晰可见，水面下的部分才是根源：

水面之下，是一个典型的公地悲剧结构：芯片厂觉得固件安全是品牌方的事，品牌方觉得底层代码是芯片厂的事，运营商觉得设备采购时厂商承诺过质量，而用户压根不知道路由器还有“系统更新”这回事。每一方都在别人的土地上放牧，没有一块地有人耕。

WPSplinter只是被公开的一个样本。从博通自己的表态方式就能看出问题所在：对整个Wi-Fi芯片SDK生态而言，老组件、闭源、缺乏安全支持年限约束，恐怕不是某一家的孤例——只是这一次，恰好有人把它演示在了巴黎的讲台上。

对行业而言，这次事件至少留下三条明确的启示：

1. 安全支持年限应当写进采购合同。 运营商和大型渠道采购设备时，理应要求明确的安全更新承诺期，而不是默认“卖出去就两清”；

2. 闭源不等于免责。 SDK提供方对已知的严重安全问题，即便产品过保，也需要给出至少是过渡性的处置方案——凯泽实测“均未收到补丁”的结果说明，口头承诺的修复方案如果没有落地验证机制，与不修没有区别，甚至“不完整”的修复更容易制造虚假安全感；

3. 漏洞披露机制需要兜底。 当厂商以EOL为由拒绝配合时，无CVE可分配的漏洞如何进入公共风险视野，目前是个机制空白。凯泽选择在Hexacon公开演示，本质上就是绕过失灵的常规渠道、直接向行业拉响警报——但依赖研究者的个人行为兜底公共安全，本身就不该是常态。

三条启示指向同一个结论：这不是某一方“改正一下”就能解决的问题，而是需要采购方、监管方、芯片厂和品牌方同时改变行为规则。规则不变，下一个WPSplinter只会换个名字出现。

🔮 留给普通人的动作清单

监管的齿轮在转，但它转得比你家路由器被攻破的速度慢。

全球范围内，对联网设备强制安全更新期的监管正在收紧，欧盟的网络弹性法案（CRA）等法规已把“提供安全更新”列为设备合规的硬要求之一。方向是对的：让“软件过保”不再是无视安全的通行证。但法规覆盖新品易、覆盖存量难——而这次事件里，最脆弱的恰恰是存量。

在补丁真正到来之前，普通用户能做的其实很具体：

• 关闭路由器的WPS功能，用完整密码连接设备，多输一次密码换一道防线，划算；
• 检查固件更新，在管理后台确认设备是否仍在厂商支持期内；
• 老旧且无人维护的路由器，考虑更换，尤其是还在跑默认密码的老古董；
• 对企业用户，需要意识到依赖CVE库的资产扫描发现不了这个漏洞，得主动核对设备是否使用博通芯片方案。

这些建议都不性感，也解决不了根源问题。但根源问题的解决，从来不是靠某一次会议演示，而是靠采购条款、监管细则和责任划分的一次次挤压。

结语

WPSplinter的特殊之处，不在于技术多惊艳——缓冲区溢出是漏洞世界的“老朋友”，而在于它把三个问题同时摊开：十五年的代码债、无CVE的机制盲区、EOL之后的责任真空。数百万台设备悬在半空，补丁未至，编号全无。巴黎那一分钟演示的价值，是逼所有人承认：路由器安全不是某个厂商的bug，而是整条供应链欠的债。下一个被摆上讲台的，会是谁的SDK？