Jakarta - Bayangkan perangkat router Wi-Fi di rumah Anda bisa dibobol orang asing dari seberang jalan tanpa perlu tahu password, menekan tombol, atau bahkan menyambung ke jaringan terlebih dahulu.
Hal inilah yang diungkapkan oleh peneliti keamanan siber Quentin Kaiser dalam konferensi Hexacon di Paris. Ia menemukan celah keamanan berusia sekitar 16 tahun yang mengancam jutaan router berbasis cip Broadcom di seluruh dunia. Celah yang dinamai “WPSplinter” ini memanfaatkan komponen lawas bernama WPS Monitor yang mengatur fitur Wi-Fi Protected Setup (WPS).
Kronologi dan Cara Kerja Celah WPSplinter
Kode rentan ini ternyata sudah tertanam di dalam paket perangkat lunak (software development kit/SDK) Broadcom sejak tahun 2010 silam.
Masalah utamanya terletak pada bagaimana sistem menangani pesan WPS yang terpecah-pecah. Ketika pesan tersebut disusun ulang, perangkat lunak lupa memeriksa apakah data yang disusun muat di dalam ruang memori yang disediakan (buffer overflow).
Akibat kelalaian ini, hacker yang berada dalam jangkauan sinyal Wi-Fi dapat menyusup dan mengeksploitasi kode tersebut sebelum perangkat korban tersambung ke jaringan.
- Tanpa Autentikasi: Peretas tidak memerlukan PIN, tombol fisik, ataupun password Wi-Fi.
- Pengujian Nyata: Saat diuji di Belgia pada router buatan Orange dan Sagemcom (Proximus), Kaiser berhasil mengambil kata sandi Wi-Fi korban secara nirkabel dan membuka akses kendali jarak jauh (remote shell) hanya dari seberang jalan.
- Peran AI: Kaiser bahkan mengaku memanfaatkan bantuan kecerdasan buatan (AI) untuk memangkas waktu risetnya dari berbulan-bulan menjadi kurang dari seminggu saja.
Merek Terdampak dan Situasi di Indonesia
Berdasarkan estimasi Kaiser, kerentanan ini berdampak pada puluhan vendor, ratusan produk, dan jutaan access point global. Ia telah merilis daftar perangkat yang diduga rentan dari sekitar 28 merek populer, termasuk:
- ASUS
- D-Link
- Huawei
- Netgear
- TP-Link
- ZTE
Salah satu perangkat yang masuk dalam daftar adalah router ZTE F680 v4, yang dikonfirmasi rentan di semua versinya. Di Indonesia sendiri, operator Indosat tercatat sebagai salah satu pengguna perangkat tersebut.
Meski demikian, Kaiser mengingatkan bahwa memiliki cip Broadcom saja tidak otomatis membuat perangkat Anda pasti rentan, karena hal tersebut sangat bergantung pada firmware (perangkat lunak bawaan) dari masing-masing produsen.
⚠️ Catatan Penting: Mematikan fitur WPS lewat menu pengaturan router ataupun mengganti password Wi-Fi tidak akan menutup celah ini, sebab serangan terjadi sebelum proses login dilakukan.
Tanggapan Broadcom: Masalah Lama yang Belum Usai
Kaiser telah melaporkan temuannya ini kepada Broadcom sejak Juli 2026. Namun, respons dari pihak produsen cip menuai banyak tanda tanya:
- Klaim Tambalan Lama: Broadcom berdalih bahwa celah tersebut sudah ditambal bertahun-tahun lalu (sejak 2018). Namun, Kaiser membantahnya dan menilai tambalan kala itu tidak lengkap serta dirilis secara diam-diam.
- Enggan Mendaftarkan ke CVE: Broadcom menolak mendaftarkan celah ini ke Common Vulnerabilities and Exposures (CVE) dengan alasan perangkat lunak tersebut sudah lawas dan berada di luar masa dukungan, meskipun mereka sebenarnya berwenang menerbitkannya.
- Migrasi Software: Broadcom menyatakan sedang berencana mengganti komponen WPS Monitor yang usang dengan perangkat lunak open-source bernama hostapd.
Hingga saat ini, langkah terbaik bagi pengguna adalah terus memantau pembaruan firmware resmi dari masing-masing produsen router atau penyedia layanan internet (ISP) yang Anda gunakan untuk memastikan perangkat Anda aman dari ancaman ini.