攻不进密码，却能站在信号范围内拿下路由器——这枚漏洞已经活了十六年。
一、事件背景：一个"便利功能"的十六年
10 月 16 日，巴黎一场嵌入式安全会议上，一位安全研究者公布漏洞 WPSplinter。它出在芯片厂商自有的 Wi-Fi 软件里，位置是 WPS——那个让设备"不用输密码就能连网"的一键配网功能。代码源头可追溯到至少 2010 年：这个缺陷已在大量路由器和运营商网关里存在十六年。
值得单独讲，不是技术复杂，而是编号、披露、修复三个环节同时失灵。
二、关键事实梳理
2.1 不用密码，不用配对
WPS 配对时设备之间要交换分段传送的认证消息，厂商代码重组时没有限制长度，攻击者发一段特制消息就能让内存越界，进而读出内存、执行任意代码。关键在两个"不需要"：不需要 Wi-Fi 密码，不需要完成配对，也不需要用户做任何操作。
实证中，一台网关的 Wi-Fi 密码被读出并经无线回传，随即用它入网；另一台被打开反向命令行，通道只跑在无线帧里。
2.2 一个国家就超过 150 万台
按公开用户规模粗估，仅欧洲一个国家就有三批运营商网关可能受影响，约 85 万、50 万、21 万台，合计逾 150 万台。同一芯片还被数十家厂商用在数百款产品上，涵盖网关、路由器与企业接入点。
但清单混了"已确认"与"疑似含同样代码"两类，芯片品牌相同不等于一定中招。
2.3 最难的不是技术，是修不了
研究者 7 月报给芯片厂商，回复大意是：问题早就知道，修复版本已有，请设备商直接来找我们。但截至 10 月 15 日，测试过的那批网关没有一台收到补丁。
厂家的说法并非没有余地：它表示旧实现从 2018 年起已被基于开源方案的新实现替代。问题在于，新实现只覆盖了部分配对路径，只有 WPS 的推送按钮（PBC）工艺才完全不经过这段旧代码，而工厂自动化与「近场通信」配置所用的另两种工艺仍要走它。换栈不等于修好，得换对路径才算。
结局按平台分两种。旧款实时操作系统芯片（BCM3380、BCM3383、BCM33834 等）被判定"永远修不了"——forever day，因为建议的出路是整体换软件栈，这些老平台已无路径；Linux 平台芯片（BCM3390、BCM65xx、BCM68xx 等）理论上可修，前提是设备商都愿意换掉 Wi-Fi 软件。
2.4 没有编号，等于在台账里不存在
厂商拒绝申请编号，理由是软件已过支持期；研究者转求助协调机构，案子当天结案——因为这家厂商本身就是编号授权机构，有权给自己产品登记，而它选择不登记。
后果很具体：多数扫描器、资产台账、补丁看板都以编号为索引。没有编号，它不会出现在任何自动报表里，企业可以说"扫过了，没有高危"，而那台设备依然敞着门。
三、对厂商、用户与行业的影响
对上游芯片与整机厂商：支持期结束不等于责任结束。 代码活了十六年、用在数百款产品上，"已过支持期"是商业口径不是技术事实；更麻烦的是"修复版本已有"——上游有、下游没装，等于没有。
对用户：密码设得再复杂也没用。 动作只有三条：后台关掉 WPS；向运营商确认型号是否受影响、有无固件更新；已停更的当作不能修补的设备替换。企业侧再加一条：别把网关当可信边界，访客网、办公网、设备网要做实隔离。
对行业：披露机制有盲区。 影响数百万台设备的缺陷，因为没被登记就自动退出主流风险管理流程——这不只是技术问题，而是"谁能编号，谁就能决定漏洞存不存在"。
四、标准视角的专业判断
配网阶段本身就是攻击面。 入口是 WPS 的消息重组，属于"入网之前"的处理逻辑。GB/T 40349-2021 6.4.2.2 要求模块具备与外部通信的鉴别能力、鉴别信息安全存储；6.4.2.3 要求外部通信具备保密性、完整性、防重放，并在会话前完成密钥协商、密钥不少于 128 位、禁止明文保存。标准不允许把"谁能进网"交给没有长度校验的代码。
暴露在攻击面前也能自保，是通信模块的底线。 本组织牵头制定的 BSI-CC-PP-0110 出发点很硬：即使端口与服务全暴露、没有防火墙，安全通信模块也必须自保。路由器一旦被打穿，名下所有设备的流量都经过一个不可信的转发点——这正是它要挡的结局。
身份不可克隆，才能让"钥匙被读走"不再致命。 演示里第一件事就是把 Wi-Fi 预共享密钥从内存读出——这类共享密钥被整张网的设备共用，泄露一台等于泄露全部。BSI-CC-PP-0109 要求安全芯片提供不可克隆的信任锚点、密钥不可经逻辑手段读出，正是把"共用一把钥匙"换成"证明自己是那一台设备"。
修不上的老设备，只能靠准入来补。 GB/T 40349-2021 6.4.2.7 要求升级包做完整性校验与来源验证、失败保持原固件可用；GB/T 41789-2022 6.7 还要求更新通道防中间人、启动自检完整性。设备连升级路径都没有时，只剩部署侧控制可用。
五、趋势预判
第一，无线配网与近场入口会成为热点。 这类功能为"易用"而生，常在设备联网前就对外开放，长期缺审计。
第二，"修不了"的设备会更多，且集中在运营商手里。 存量网关生命周期长、换机成本高，用户无法自行刷固件——修复权不在用户手上，责任就得写进合同。
第三，编号治理会成为安全议题，衡量标准也将转向"补丁有没有到设备上"。 厂商同时是"缺陷持有者"和"编号发放者"时，不编号最省事；而上游说已修复、下游说没收到、用户说不知道，每一环都需要可核验的证据。
**