El investigador de seguridad Quentin Kaiser ha destapado un fallo de memoria en la implementación WPS de chips WiFi de Broadcom, presente desde alrededor de 2010, que permite a un atacante cercano al router extraer las credenciales WiFi y ejecutar código sin necesidad de contraseña ni autenticación. En España afecta a modelos usados por Movistar, O2, Orange, Jazztel, Simyo, MásMóvil y Yoigo. Broadcom se negó el 29 de julio de 2026 a asignar un identificador CVE al fallo, lo que según Kaiser explica que muchos fabricantes no lo hayan parcheado. Orange asegura que las actualizaciones de seguridad se despliegan de forma automática a sus equipos, mientras que Movistar dice estar probando con sus proveedores sin casos confirmados de explotación hasta la fecha.
Un fallo de memoria en la implementación WPS de varios chips WiFi de Broadcom, presente en el software desde alrededor de 2010, permite a un atacante situado cerca del router ejecutar código y extraer credenciales sin contraseña. En España afecta a equipos de Movistar, O2, Orange, Jazztel, Simyo, MásMóvil y Yoigo, y Broadcom se ha negado a asignarle un identificador CVE oficial. El investigador de seguridad Quentin Kaiser ha destapado un fallo de memoria en la implementación WPS de chips WiFi de Broadcom, presente desde alrededor de 2010, que permite a un atacante cercano al router extraer las credenciales WiFi y ejecutar código sin necesidad de contraseña ni autenticación. En España afecta a modelos usados por Movistar, O2, Orange, Jazztel, Simyo, MásMóvil y Yoigo. Broadcom se negó el 29 de julio de 2026 a asignar un identificador CVE al fallo, lo que según Kaiser explica que muchos fabricantes no lo hayan parcheado.
Chip WiFi Broadcom BCM94311MCG, de la misma familia de componentes afectados por el fallo de seguridad en la implementación WPS
Foto: Raimond Spekking · Licencia: CC BY-SA 4.0 · Archivo original · Condiciones de la licencia
Varios modelos de router utilizados por operadores españoles son vulnerables a un fallo de seguridad en los chips WiFi de Broadcom que permite a un atacante situado dentro del alcance de la señal inalámbrica tomar el control del dispositivo sin conocer la contraseña de la red, según informaron Xataka Móvil, Roams, Cybernews y Profesional Review. El problema reside en la implementación del protocolo WPS (WiFi Protected Setup) de varias familias de chips de la compañía, utilizadas en routers de fibra y cable de todo el mundo, incluidos los que distribuyen de forma estándar varios operadores de telecomunicaciones en España a sus clientes residenciales.
Según detalló Roams citando el análisis del investigador, se trata de un desbordamiento de memoria que permite a quien envíe tramas WiFi manipuladas cerca del router extraer las credenciales de la red almacenadas en la memoria del dispositivo y ejecutar código con privilegios de administrador, sin necesidad de autenticarse ni de estar conectado previamente a la red. El código vulnerable, presente en chips como el BCM3380, BCM3383 y BCM3390, entre otros, data de aproximadamente 2010, y Broadcom había publicado en 2018 un parche que, según el investigador, resultó incompleto.
El hallazgo corresponde al investigador de seguridad Quentin Kaiser, quien remitió sus informes a Broadcom entre el 18 y el 27 de julio de 2026 y presentó públicamente los detalles técnicos el 16 de octubre en la conferencia Hexacon de París, de acuerdo con Roams y Xataka Móvil. Broadcom respondió el 29 de julio de 2026 negándose a asignar un identificador CVE al fallo, una decisión que Kaiser señala como una de las razones por las que numerosos fabricantes de routers no han desplegado todavía una corrección.
En España, según el listado recogido por Xataka Móvil y Roams, los equipos potencialmente afectados incluyen el Comtrend VG8050 (Movistar y O2), el Askey RTF3505VW y el MitraStar GPT-2541GNAC (Movistar y O2), el Sagemcom Fast 5656 o Livebox Fibra (Orange, Jazztel y Simyo) y el ZTE F680 v4 (Jazztel, MásMóvil y Yoigo). La lista coincide, en gran medida, con la de otros países donde se comercializan los mismos modelos de hardware bajo otras marcas, lo que amplía considerablemente el alcance del problema más allá de España.
Los operadores españoles no han confirmado públicamente ningún caso de explotación. Orange ha señalado que las actualizaciones de seguridad llegan de forma automática a los equipos conectados a su red, mientras que Movistar ha indicado que está realizando pruebas junto con sus proveedores de hardware sin que, por el momento, haya constancia de incidentes. Ante la falta de un parche confirmado y de una respuesta oficial de Broadcom, los especialistas consultados por Roams recomiendan esperar confirmación de los operadores antes de alarmarse, y advierten de que deshabilitar la función WPS podría no ser suficiente para neutralizar el riesgo, ya que el fallo reside en la propia pila de memoria del chip y no solo en el proceso de emparejamiento de dispositivos.
Alrededor de 2010: se introduce en el SDK de Broadcom el código de la implementación WPS que resultaría vulnerable.
2018: Broadcom publica un parche para un fallo relacionado en el mismo subsistema, que el investigador considera incompleto.
18-27 de julio de 2026: Quentin Kaiser remite a Broadcom los informes técnicos sobre la nueva vulnerabilidad.
29 de julio de 2026: Broadcom se niega a asignar un identificador CVE al fallo.
16 de octubre de 2026: Kaiser presenta los detalles técnicos en la conferencia Hexacon de París.
19 de octubre de 2026: medios españoles difunden la lista de routers de Movistar, O2, Orange, Jazztel, Simyo, MásMóvil y Yoigo potencialmente afectados.
El fallo afecta potencialmente a millones de routers residenciales en todo el mundo que usan chips WiFi de Broadcom con WPS, y en España concentra el riesgo en clientes de Movistar, O2, Orange, Jazztel, Simyo, MásMóvil y Yoigo con los modelos de hardware identificados.
La negativa de Broadcom a asignar un CVE deja en manos de cada operador la decisión y el calendario de actualizar el firmware de sus equipos, sin un mecanismo de coordinación centralizado ni una fecha de parche garantizada.
El protocolo WPS ha sido objeto de fallos de seguridad recurrentes desde su diseño original, y Broadcom ya había publicado en 2018 un parche parcial para una vulnerabilidad relacionada en el mismo subsistema.
Kaiser presentó sus hallazgos en Hexacon, una conferencia de seguridad ofensiva celebrada en París, un foro habitual para la divulgación de fallos de firmware en dispositivos de red.
Washington cree que Jensen Huang fue cortejado por una supuesta espía china y no le avisó
Por qué importa: También en Internacional / Tecnología: contexto reciente de la misma vertical.
Volkswagen presenta VEGA, su nueva tecnología desarrollada en China para coches eléctricos de hasta 800 km de autonomía
Por qué importa: También en economia: contexto reciente de la misma vertical.
La Rioja lleva a Buenos Aires su batalla por un español "menos robótico" en la inteligencia artificial
Por qué importa: También en ciencia-tecnologia: contexto reciente de la misma vertical.
Microsoft ofrece salidas voluntarias a 60.000 empleados, más de una cuarta parte de su plantilla
Por qué importa: También en tecnologia: contexto reciente de la misma vertical.
AMD y Meta amplían su alianza estratégica en inteligencia artificial con una inversión de 1.000 millones
Por qué importa: También en tecnologia: contexto reciente de la misma vertical.
