WPair es una aplicación para Android diseñada para identificar y demostrar la vulnerabilidad CVE-2025-36911, que afecta a millones de dispositivos de audio Bluetooth en todo el mundo. La herramienta aborda un fallo crítico de bypass de autenticación descubierto por investigadores de KU Leuven en el protocolo Fast Pair de Google, comúnmente conocido como WhisperPair. La CVE-2025-36911 representa un fallo sistémico en las implementaciones de Fast Pair en múltiples fabricantes.

WPair es una aplicación para Android diseñada para identificar y demostrar la vulnerabilidad CVE-2025-36911, que afecta a millones de dispositivos de audio Bluetooth en todo el mundo.

La herramienta aborda un fallo crítico de omisión de autenticación descubierto por investigadores de KU Leuven en el protocolo Fast Pair de Google, comúnmente conocido como WhisperPair.

CVE-2025-36911 representa un fallo sistémico en las implementaciones de Fast Pair en múltiples fabricantes y chipsets. La vulnerabilidad surge por una aplicación incorrecta de la verificación del modo de emparejamiento.

Según la investigación sobre WhisperPair, muchos dispositivos no descartan solicitudes de emparejamiento de fuentes no autorizadas cuando no están explícitamente en modo de emparejamiento.

Esto permite a los atacantes establecer conexiones forzadas en cuestión de segundos a distancias de hasta 14 metros. El ataque no requiere interacción del usuario ni acceso físico al dispositivo, lo que lo hace especialmente peligroso para equipos de audio de consumo Bluetooth.

Funcionalidad de WPair

La aplicación ofrece tres modos principales de escaneo y prueba. El Escáner BLE descubre dispositivos Fast Pair cercanos identificando aquellos que transmiten el servicio UUID 0xFE2C.

El Probador de Vulnerabilidades realiza comprobaciones no invasivas para determinar el estado de parcheo sin establecer conexiones.

Para investigación de seguridad autorizada, la función Exploit demuestra la cadena de ataque completa, incluyendo la omisión de emparejamiento basada en claves, la extracción de direcciones BR/EDR y el enlace Bluetooth Classic.

Las capacidades posteriores a la explotación incluyen el acceso al perfil Manos Libres para la funcionalidad del micrófono.

Los usuarios pueden habilitar la transmisión de audio en vivo directamente al altavoz de su teléfono o guardar el audio capturado como archivos M4A para análisis forense.

La vulnerabilidad permite a los atacantes secuestrar dispositivos sin autorización, lo que les permite controlar la reproducción de audio, grabar conversaciones y potencialmente establecer un seguimiento persistente a través de la red Find Hub de Google.

Si un dispositivo nunca se ha conectado a un dispositivo Android, los atacantes pueden agregarlo a su propia cuenta para el seguimiento de ubicación, explotando el mecanismo que designa al primer escritor de la Clave de Cuenta como el propietario del dispositivo.

Los fabricantes afectados incluyen JBL, Harman Kardon, Sony, Marshall y muchos otros, impactando a cientos de millones de usuarios en todo el mundo.

Requisitos técnicos y opciones de instalación

Google clasificó este problema como crítico y otorgó a los investigadores la máxima recompensa de $15,000. La ventana de divulgación de 150 días finalizó en enero de 2026, y los fabricantes ya están lanzando parches.

WPair excluye explícitamente la funcionalidad de aprovisionamiento de la red Find Hub para mantener límites éticos en torno a la implementación de stalkerware.

WPair requiere Android 8.0 o superior con soporte para Bluetooth LE y los permisos de ubicación adecuados. La aplicación está disponible tanto como un APK precompilado como código fuente compilable mediante Gradle.

Según el aviso, los investigadores de seguridad deben verificar que poseen autorización escrita explícita antes de probar dispositivos que no son de su propiedad.

La herramienta representa un avance significativo en la evaluación de vulnerabilidades para el ecosistema de audio IoT, permitiendo a fabricantes y equipos de seguridad identificar dispositivos afectados que requieren actualizaciones de firmware inmediatas.