Türk Telekom ve Türksat Modemleri de Listede: 16 Yıllık Wi-Fi Açığı Parola Bile İstemiyor

Güvenlik araştırmacısı Quentin Kaiser, Broadcom yongalı birçok modem ve kablosuz erişim noktasında en az 2010'dan beri duran bir Wi-Fi açığı buldu. Kaiser'e göre açık, Wi-Fi menzilindeki birinin parolasız olarak cihazın kontrolünü almasına izin veriyor. Araştırmacının etkilenen cihaz listesinde Türk Telekom ve Türksat Kablonet modemler de var. 15 Ekim 2026 itibarıyla incelediği cihazların hiçbirine düzeltme gelmemişti.

WPSplinter Açığı Tam Olarak Nedir?

Kaiser'in "WPSplinter" adını verdiği açık, Broadcom'un modem üreticilerine sunduğu yazılımdaki eski WPS (Wi-Fi Protected Setup) bileşeninde bulunan bir bellek hatasından kaynaklanıyor. Araştırmacıya göre bu hata, test ettiği cihazlarda bellekteki verilerin okunmasına ve cihazda en yüksek yetkiyle kod çalıştırılmasına yol açıyor. Kaiser, blog yazısında yayımladığı videolarda açığı Belçika'da Orange Belgium ve Proximus'un dağıttığı modemlerde çalıştırdı.

Saldırganın bu açığı internetten değil, kablosuz bağlantıdan kullanabilmesi için modemin Wi-Fi menzilinde bulunması gerekiyor. Saldırganın Wi-Fi parolasını bilmesi ya da WPS eşleştirmesini tamamlaması gerekmiyor. Cihaz sahibinin de bir şey yapmasına gerek kalmıyor. Araştırmacı saldırının uzun mesafede de çalıştığını ve "sokağın karşısından" bile cihaza erişilebildiğini yazıyor. Ancak metre cinsinden bir değer vermiyor.

Yazılım açıklarını izlemek için kullanılan CVE (Ortak Güvenlik Açıkları ve Maruziyetler) sisteminde WPSplinter'ın bir numarası yok. Bu nedenle resmi bir risk puanı da bulunmuyor.

Hangi Modemler ve Yongalar Etkileniyor?

Kaiser'e göre etkilenen eski yonga aileleri arasında eCos işletim sistemiyle çalışan BCM3380, BCM3383 ve BCM33834 var. Linux tabanlı tarafta ise BCM3390, BCM65xx ve BCM68xx bulunuyor. Araştırmacının WPSplinter sayfası listeye BCM63xx ailesini de ekliyor. Kaiser yonga ailesinin eşleşmesinin tek başına bir cihazın açıklı olduğunu kanıtlamadığını, belirleyici olanın cihaz yazılımındaki eski WPS bileşeni olduğunu söylüyor.

Araştırmacının listesinde ARRIS, Cisco, Huawei, Netgear, Nokia, Sagemcom, Technicolor, TP-Link, ZTE ve Zyxel gibi markaların modelleri var. Kaiser, Belçika'da incelediği 4 servis sağlayıcıdan 3'ünde, yani Proximus, VOO ve Orange Belgium'da açığın kullanılabildiğini söylüyor. Araştırmacının bu üç şirket için verdiği tahminler toplandığında etkilenen modem sayısı yaklaşık 1,56 milyona ulaşıyor. Kaiser bu tahminlere orta düzeyde güvendiğini belirtiyor.

Türkiye'deki kullanıcıları ilgilendiren modeller de araştırmacının WPSplinter sayfasındaki listede bulunuyor. Zyxel'in VMG3312-B10A ve VMG3312-B10B modelleri listede Türk Telekom notuyla geçiyor. CastleNET'in NetMASTER Infinity 401MP, CBW-383ZN, CBW-383Z4 ve CBW-700V modelleri ise Türksat Kablonet notuyla yer alıyor.

 

TP-Link satırında Archer C3150, Archer C5400, VR600, VR900, VR2800, VR1600 ve TD-VG5612 modelleri var. Bu satırdaki Türk Telekom notu modellere tek tek değil, satırın tamamına düşülmüş. Aynı satırda Avustralyalı servis sağlayıcılar da geçtiği için hangi TP-Link modelinin Türk Telekom'da kullanıldığı sayfadan anlaşılmıyor.

Kaiser listenin eksiksiz olmadığını, aynı modelin farklı donanım ya da yazılım sürümlerinin farklı sonuç verebileceğini belirtiyor. Listedeki operatör notu, cihazın o şirkette kullanıldığını anlatıyor; operatörün bugün dağıttığı yazılımın açıklı olduğunu kanıtlamıyor. 20 Ekim 2026 itibarıyla Türk Telekom, Türksat Kablonet, TP-Link, Zyxel ve CastleNET'in konuyla ilgili kamuya açık bir açıklaması bulunmuyor.

Broadcom Açık Hakkında Ne Söyledi?

Broadcom'un kamuya açık bir açıklaması ya da güvenlik bülteni yok. Kaiser'in Hexacon sunumunda yayımladığı yazışmada Broadcom, açığı uzun süredir bildiğini ve başka tarafların da kendisine ilettiğini yazıyor. Şirket aynı yazışmada eski WPS yazılımının birkaç yıl önce kullanımdan kaldırıldığını ve 2018'den itibaren açık kaynaklı hostapd tabanlı yeni bir yazılımla değiştirildiğini belirtiyor.

Araştırmacının anlattığı süreçte Broadcom 2018'de eksik bir düzeltme yayımladı ve modem üreticilerine yeni yazılıma geçmelerini önerdi. Kaiser ilk raporunu 18 Temmuz 2026'da gönderdi. Broadcom 28 Temmuz'da araştırmacıya bir yamanın mevcut olduğunu ve cihaz üreticilerinin kendisiyle iletişime geçmesi gerektiğini bildirdi. Ertesi gün ise yazılımın destek süresinin dışında kaldığını belirterek CVE kaydı açmayı reddetti. Araştırmacı, 90 günlük bekleme süresinin ardından açığı 16 Ekim 2026'da kamuoyuyla paylaştı. Kaiser'in yazısında açığın gerçek saldırılarda kullanıldığına dair bir bilgi yok.

Modeminiz Listedeyse Ne Yapmalısınız?

Kaiser'in bilgi sayfasındaki sık sorulan sorular bölümü, kullanıcının kendi kurabileceği bir Broadcom yaması olmadığını yazıyor. Düzeltme cihaz üreticisinin ya da internet servis sağlayıcısının (ISS) yayımlayacağı bir yazılım güncellemesiyle gelebilir. Bu yüzden modem arayüzüne giriş yapıp cihazın modelini ve yazılım sürümünü kontrol etmek, ardından yazılımı güncel tutmak ilk adım.

Araştırmacı modeli listede olan kullanıcılara servis sağlayıcısına ya da üreticiye bu açığı gideren bir güncelleme olup olmadığını sormayı öneriyor. Aynı bölüme göre WPS'yi ayarlardan kapatmak da yeterli olmayabilir, çünkü bu düğme açıklı bileşeni tamamen devre dışı bırakmıyor olabilir. Güçlü bir Wi-Fi parolası seçmek ya da modem şifresini değiştirmek de bu açığa karşı koruma sağlamıyor.

Kaiser, eCos tabanlı eski modellerde düzeltme bulamadığını ve açığın bu cihazlarda kalıcı olduğunu söylüyor. Kaiser'in bilgi sayfası da eski eCos tabanlı ürünlerde yeni yazılıma geçiş yolu olmayabileceğini belirtiyor. Bu durumda geriye kalan seçenek, cihazı yenisiyle değiştirmek gibi görünüyor.

Editörün Yorumu

Bana göre Broadcom'un CVE kaydı açılmasını istememesi, açığın numara üzerinden çalışan güvenlik taramalarında hiç görünmemesine yol açabilir. Modelim listede olsaydı servis sağlayıcıya telefonla sormakla kalmaz, yanıtı yazılı isterdim; güncellemenin gelip gelmeyeceğini başka bir yoldan öğrenmek kolay değil. Ayrıca Kaiser'in de eksik saydığı bu listede modelinizin geçmemesi, güvende olduğunuz anlamına gelmiyor.