16 października 2026 firma OPSWAT opisała ostatnią część swoich badań nad kamerami Tapo C200 i C120 firmy TP-Link. Najgroźniejsza z luk, CVE-2026-102369, polega na wstrzykiwaniu poleceń do fabrycznej usługi diagnostycznej. Sama w sobie wymaga uprawnień administratora, ale te daje luka w uwierzytelnianiu ujawniona w sierpniu. Po połączeniu obu ktoś z tej samej sieci lokalnej może, nie znając hasła, uruchamiać na kamerze dowolne polecenia systemu operacyjnego.

TP-Link już to naprawił. W biuletynie bezpieczeństwa, zaktualizowanym ostatnio 1 października, podaje wersje oprogramowania z poprawkami:

  • Tapo C200 V5: V5_1.4.6 Build 260709 Rel.27675n,
  • Tapo C120 V1: V1_1.9.4 Build 260813 Rel.79754n.

Jak przebiega atak

Pierwszym ogniwem jest luka CVE-2026-15315, którą TP-Link ujawnił w sierpniu. Do lokalnego interfejsu zarządzania kamerą łączy się przez HTTPS, a logowanie działa na zasadzie wyzwania i odpowiedzi. Jedna ze ścieżek w kodzie przyjmuje jednak wartość, którą kamera sama wysłała w trakcie tej wymiany. Wystarczy ją odesłać, żeby dostać sesję administratora bez hasła właściciela.

Mając taką sesję, napastnik włącza TMPD, usługę diagnostyczną przeznaczoną do produkcji i serwisu, a potem uruchamia kamerę ponownie. Moduł MacTool tej usługi składa polecenia powłoki do przesyłania plików przez TFTP z parametrów, które dostaje, i nie sprawdza ich jak należy. Odpowiednio spreparowany parametr wykona się więc jako polecenie. TP-Link ocenia tę lukę na 8,7 w skali CVSS v4.0. OPSWAT sprawdził cały łańcuch w laboratorium, ale nie opublikował kodu ataku ani szczegółowego opisu kroków.

Według badaczy skutki nie kończą się na podglądaniu obrazu. Kto dostanie się do systemu kamery, może zainstalować złośliwe oprogramowanie, zapewnić sobie stały dostęp do urządzenia i używać go do skanowania albo atakowania wszystkiego, do czego kamera ma dostęp w sieci.

Trzy kolejne luki

Ten sam biuletyn obejmuje trzy luki w mechanizmie konfiguracji Wi-Fi. Każdą z nich da się wykorzystać bez logowania, również po zakończeniu pierwszej konfiguracji:

  • CVE-2026-78578 (7,1): napastnik może wysłać kamerze nowe ustawienia Wi-Fi, a wtedy kamera próbuje połączyć się z inną siecią i znika z własnej;
  • CVE-2026-9032 (7,1): błędnie zbudowane zapytanie wyłącza usługę HTTPS, kolejne zapytania mogą ją blokować dłużej, a czasem pomaga dopiero ponowne uruchomienie kamery;
  • CVE-2026-78577 (5,3): kamera zdradza wynik skanowania okolicznych punktów dostępowych, z nazwami sieci (SSID), identyfikatorami BSSID, rodzajem szyfrowania i siłą sygnału.

W tytule biuletynu widnieje numer CVE-2026-78579, ale w jego treści i w opisie OPSWAT luka ze skanowaniem ma numer CVE-2026-78577. Razem z dwiema lukami z sierpnia badania dały w sumie sześć numerów CVE.

Co zrobić

Każda z tych luk wymaga dostępu do tej samej sieci lokalnej, w której pracuje kamera. Serwis Cybernews zaznacza, że na razie nic nie wskazuje na ataki na prawdziwych użytkowników. W domu to jednak niewielka przeszkoda: z tej samej sieci Wi-Fi korzystają goście, telewizor i wszystkie inne urządzenia, a każde z nich może zostać przejęte. Sprawdź wersję oprogramowania każdej kamery C200 V5 i C120 V1 i zaktualizuj ją, jeśli jest starsza od podanych wyżej. OPSWAT radzi też trzymać kamery w wydzielonej części sieci, żeby jedno przejęte urządzenie nie miało dostępu do reszty domu.