WPSplinter: el fallo en el WiFi de los routers con chip Broadcom y qué hacer en la oficina

WPSplinter es una vulnerabilidad en el software WiFi que Broadcom suministra con sus chips para routers. Permite a alguien que esté dentro del alcance de la red inalámbrica, sin conocer la contraseña y sin que nadie pulse ningún botón, ejecutar código con permisos máximos en el router y, por ejemplo, leer la clave del WiFi para conectarse a la red. La publicó el investigador Quentin Kaiser el 16 de octubre de 2026, el código vulnerable existe al menos desde 2010 y, a día de hoy, no hay parche desplegado en los equipos que él ha analizado.

No hace falta estar dentro de la red ni conocer la contraseña: basta con estar al alcance de su WiFi. En una oficina, eso incluye el rellano, el aparcamiento o el local de al lado.

Actualización del 30 de octubre: Movistar ha comunicado a sus clientes que está aplicando las medidas de protección de forma preventiva y automática, y que no hace falta cambiar la configuración del router ni sustituirlo. Orange dice lo mismo de sus Livebox. Ninguna de las dos ha concretado qué versión de firmware incluye la corrección ni cuándo llegará a cada modelo, así que en una oficina seguimos recomendando las medidas de este artículo.

Qué ha pasado

El fallo está en la parte del software que gestiona WPS, la función pensada para conectar dispositivos pulsando un botón del router en lugar de escribir la contraseña. Al recomponer ciertos mensajes de WPS que llegan troceados, el código de Broadcom no comprueba bien los tamaños, y unos mensajes preparados a propósito corrompen la memoria del router. A partir de ahí el atacante puede leer datos del equipo o ejecutar su propio código.

Kaiser comunicó el problema a Broadcom en julio de 2026. Según su relato, Broadcom respondió que había un parche disponible, que tenía constancia del fallo desde 2018, cuando publicó una corrección parcial, y que se dirigiera a los fabricantes de cada router. También declinó registrar un identificador CVE, que es lo que normalmente pone en marcha los avisos y las actualizaciones en toda la cadena. Pasados los 90 días habituales, el investigador lo hizo público.

En sus pruebas, Kaiser tomó el control por WiFi de routers de operadoras belgas, extrajo la clave de la red de la memoria y se conectó con ella. Calcula que solo en Bélgica hay del orden de un millón y medio de equipos afectados, y que a escala mundial la cifra puede ser mucho mayor, porque los chips de Broadcom están en routers de decenas de fabricantes. A 30 de octubre sigue sin haber ataques confirmados fuera de sus pruebas, aunque algún titular haya dicho lo contrario.

Qué chips y qué routers están afectados

Según el investigador, el problema afecta a dos familias de chips de Broadcom muy habituales en los routers que entregan las operadoras:

• Chips con sistema eCos: BCM3380, BCM3383 y BCM33834. Kaiser los considera un caso sin arreglo práctico: es muy probable que esos routers no reciban nunca una actualización.
• Chips con Linux: BCM3390, BCM63xx, BCM65xx y BCM68xx. Se pueden corregir, siempre que el fabricante del router cambie el software WiFi y la operadora distribuya el nuevo firmware.

Los modelos señalados en España

Esta es la situación de los routers de operadoras españolas, según la lista pública del investigador y lo publicado por medios nacionales:

Conviene leerla con prudencia. Que un modelo esté confirmado no significa que lo estén todas sus versiones de hardware y de firmware, y que un router no aparezca tampoco garantiza que esté a salvo: el propio Kaiser advierte de que su lista está incompleta y la sigue ampliando.

Por su parte, Telefónica ha explicado que está en contacto con los fabricantes y haciendo pruebas en sus equipos, y que no tiene constancia de ningún router de Movistar u O2 comprometido. Orange ha indicado que está evaluando el riesgo y desplegando correcciones con sus proveedores, que llegan solas a los routers conectados, y que tampoco ha detectado ningún ataque contra sus clientes.

El soporte de Movistar recuerda que el firmware de sus routers se actualiza solo y de forma escalonada. Como referencia, en Bélgica la operadora Proximus desactivó WPS a distancia en sus routers el 20 de octubre como medida provisional mientras prepara el arreglo definitivo.

Qué ha dicho Movistar el 28 de octubre

Tras unos días respondiendo caso por caso, Movistar ha publicado en su Comunidad un aviso general. Reconoce que se ha identificado una posible vulnerabilidad que afecta a determinados modelos de router, asegura que sus equipos ya están aplicando las medidas de protección necesarias y que no le consta ningún acceso no autorizado. Lo importante para el cliente es esto: según Movistar, las medidas se aplican de forma preventiva y automática, y no hay que modificar la configuración del router ni sustituirlo.

Es una buena noticia, pero deja preguntas abiertas. El aviso no dice qué medida concreta se aplica (un firmware corregido o, como en Bélgica, desactivar WPS a distancia), qué modelos y versiones cubre ni cuándo llega a cada router. Tampoco hay forma sencilla de que el cliente compruebe que su equipo ya la tiene. Para una vivienda, seguir la indicación de Movistar es razonable. En una oficina, donde el router da acceso a toda la red de la empresa, conviene no conformarse con eso y aplicar las medidas que explicamos más abajo.

Por qué importa en una empresa

En casa, el riesgo práctico es que un vecino o alguien en la calle se meta en la red. En una oficina, quien controla el router controla la puerta de toda la red y lo que pasa por ella:

• Puede leer la clave del WiFi y entrar en la red de la oficina como un equipo más, con acceso a impresoras, carpetas compartidas, NAS o cámaras.
• Puede cambiar la configuración del router, por ejemplo los servidores DNS, para desviar a los empleados a páginas falsas que imitan las de verdad.
• Puede dejar el router como punto de apoyo permanente, porque casi nadie revisa lo que se ejecuta dentro de él.

Las oficinas en edificios compartidos, los locales a pie de calle, los coworkings y los hoteles son los escenarios más expuestos, porque el atacante puede trabajar tranquilamente desde fuera, a distancia de radio, sin llamar la atención.

Qué hacer hoy

1. Identifique el router: la marca y el modelo vienen en la pegatina de la parte de abajo o de atrás. Compárelo con la tabla anterior y con la lista del investigador.
2. Si es uno de los señalados, o un router de operadora con varios años, pida a su operadora por escrito que le confirme que la corrección ya se ha aplicado en su equipo concreto. Movistar y Orange dicen que no hace falta hacer nada, pero una confirmación para su router y su contrato es lo que necesita una empresa. Si no se la dan, pida que se lo cambien por un modelo actual.
3. Desactive WPS en el panel del router. No cuesta nada y elimina un riesgo que ya existía. Pero no lo dé por resuelto: el propio investigador advierte de que en muchos equipos el código vulnerable sigue activo aunque se apague desde el panel. Y cambiar la clave del WiFi tampoco le protege, porque el atacante no la necesita para entrar.
4. La medida más eficaz mientras no haya parche es apagar por completo el WiFi del router de la operadora y dar la red inalámbrica con puntos de acceso propios. Si el router no emite WiFi, no hay por dónde atacarlo por radio. Es la configuración que recomendamos de todos modos en una oficina: el router de la operadora solo da salida a internet y la red la gestiona la empresa.
5. Si el router es antiguo o la operadora no da una respuesta clara, plantéese sustituirlo. Algunos de los chips afectados están en equipos que no recibirán más actualizaciones.

Si no puede apagar el WiFi de inmediato, al menos separe la red de invitados de la de trabajo y cambie la clave del WiFi cuando el router esté corregido, porque un atacante podría haberla leído antes.

Cómo saber si alguien ha entrado

No hay ataques conocidos fuera de las pruebas del investigador, pero estas comprobaciones sirven para cualquier router sospechoso:

• Revise en el panel del router la lista de dispositivos conectados y busque nombres o fabricantes que no reconozca.
• Compruebe que los servidores DNS configurados son los de la operadora o los que eligió su informático, y no unos desconocidos.
• Busque reglas de apertura de puertos, accesos remotos o usuarios de administración que nadie haya creado.

Si encuentra algo raro, lo prudente es restablecer el router a valores de fábrica, actualizarlo antes de volver a configurarlo, cambiar todas las claves (WiFi y administración) y revisar los equipos de la red.

Conclusión práctica

WPSplinter no exige contraseñas ni descuidos del usuario: depende del chip que lleve el router y de si el fabricante y la operadora lo corrigen. Lo que sí está en manos de cada empresa es saber qué router tiene, presionar a la operadora y, sobre todo, no depender del WiFi del router que le han instalado.

Si en su oficina el WiFi lo da el router de la operadora, este es un buen momento para cambiarlo. Una red inalámbrica propia, bien segmentada y gestionada, le protege de este fallo y de los siguientes. Si quiere, lo revisamos con usted.

Fuentes

Información actualizada a 30 de octubre de 2026. La lista de equipos afectados y la respuesta de las operadoras pueden cambiar en los próximos días.

• Quentin Kaiser: publicación original de la investigación
• WPSplinter: página del investigador con la lista de equipos y preguntas frecuentes
• Lista de equipos y herramientas de comprobación del investigador (GitHub)
• The Register: cronología y respuesta de Broadcom
• Xataka Móvil: routers de operadoras españolas y respuesta de Telefónica y Orange
• Xataka Móvil: el aviso de Movistar a sus clientes (28 de octubre)
• Xataka: qué dicen Movistar y Orange que hay que hacer
• Tecnobits: routers afectados en España y respuesta de Movistar
• The Hack Academy: qué está confirmado y qué no sobre WPSplinter
• Geeknetic: modelos señalados en España