Daftar Isi
Peneliti keamanan siber menemukan keberadaan celah keamanan fatal berlabel WPSplinter yang mengintai ratusan juta router berbasis chipset Broadcom di seluruh dunia. Seperti dilaporkan detikINET dari Techspot pada Sabtu (24/10/2026), celah yang diabaikan selama delapan tahun ini memungkinkan peretas mengambil alih kendali perangkat melalui jangkauan sinyal Wi-Fi tanpa memerlukan kata sandi maupun interaksi pengguna.
Ancaman Tanpa Password dan Tanpa PIN WPS
Temuan ini dipaparkan oleh peneliti keamanan siber Quentin Kaiser dalam konferensi keamanan Hexacon di Paris. Nama WPSplinter disematkan secara mandiri oleh Kaiser lantaran Broadcom menolak menerbitkan identitas kerentanan resmi atau CVE identifier.
Celah keamanan ini bersarang pada kode lama fitur Wi-Fi Protected Setup atau WPS buatan Broadcom, yakni fitur yang biasa digunakan untuk menghubungkan perangkat ke jaringan Wi-Fi cukup dengan menekan tombol pada router. Kode tersebut mengalami kegagalan fungsi saat memproses pertukaran pesan tertentu, sehingga memungkinkan peretas membaca memori router hingga mengeksekusi kode berbahaya dari jarak jauh.
Daya rusak serangan ini dinilai sangat berbahaya karena peretas tidak membutuhkan kata sandi Wi-Fi maupun proses pairing WPS, serta serangan dapat diluncurkan dari jarak jauh selama peretas berada dalam jangkauan sinyal radio Wi-Fi. Kerentanan ini bukan disebabkan oleh kelemahan protokol WPS umum, melainkan cacat spesifik pada penulisan kode milik Broadcom.
Dalam demonstrasi teknisnya, Kaiser berhasil menyedot kunci Wi-Fi dari memori NVRAM router Askey TCG3000 milik operator Orange Belgium, serta membuka remote shell penuh secara nirkabel pada router Sagemcom Proximus BBOX3V+ tanpa memerlukan koneksi internet sama sekali.
Diabaikan Selama Delapan Tahun
Skandal terbesar dari kasus WPSplinter adalah runtuhnya rantai pasokan pembaruan perangkat lunak. Saat dilaporkan pada Juli lalu, Broadcom mengaku telah mengetahui celah tersebut sejak 2018 dan mengganti kodenya di lini produk baru, namun perbaikan tersebut tidak pernah sampai ke router yang terpasang di rumah-rumah konsumen.
Kaiser menjelaskan bahwa penolakan Broadcom untuk mendaftarkan kode CVE membuat laporan kerentanan ini tidak pernah masuk ke dalam radar jalur pipa pembaruan yang diandalkan oleh produsen router maupun penyedia layanan internet.
Daftar perangkat terdampak mencakup merek-merek raksasa dunia seperti Cisco, TP-Link, Netgear, Sagemcom, Nokia, ZTE, hingga Zyxel yang digunakan oleh penyedia layanan global seperti Movistar, Optus, KPN, dan Türk Telekom. Kaiser memperkirakan jumlah perangkat yang rentan secara global mencapai ratusan juta unit.
Peran Kecerdasan Buatan dalam Perburuan Bug
Sisi menarik lainnya dari penemuan celah ini adalah keterlibatan teknologi kecerdasan buatan. Kaiser mengungkapkan bahwa alat berbasis kecerdasan buatan membantunya mengidentifikasi dan merumuskan eksploitasi bug rumit ini dalam waktu kurang dari satu minggu, sebuah pekerjaan yang secara manual biasanya memakan waktu berbulan-bulan.
Dahulu, firmware router terlindungi oleh konsep keamanan berkat kerumitan dan terisolasinya kode. Namun keberadaan kecerdasan buatan kini memangkas hambatan tersebut, membuat perburuan kelemahan sistem menjadi jauh lebih mudah, baik bagi peneliti keamanan maupun peretas jahat.
Langkah Pencegahan bagi Pengguna
Bagi pengguna di rumah, memperbarui kata sandi Wi-Fi tidak akan berguna untuk mencegah serangan ini karena peretasan terjadi sebelum proses otentikasi login. Mematikan fitur WPS memang disarankan, tetapi Kaiser memperingatkan bahwa langkah tersebut mungkin tidak sepenuhnya menonaktifkan kode Broadcom yang rentan di dalam sistem.
Langkah pencegahan paling aman yang disarankan adalah mengubah router bawaan penyedia layanan internet ke dalam mode bridge, mematikan pemancar sinyal Wi-Fi bawaan dari router tersebut, serta menggunakan router pribadi tambahan yang terhubung lewat kabel dan rutin mendapatkan pembaruan keamanan.
Kaiser juga telah mengunggah skrip pendeteksi khusus di platform GitHub agar pengelola jaringan dapat memeriksa apakah perangkat mereka terdampak celah WPSplinter ini atau tidak.
Sumber: Inet - Detikcom
