TP-Link opublikował 19 października 2026 dwa komunikaty bezpieczeństwa dotyczące kamer Tapo, a opisane w nich trzy luki tego samego dnia trafiły do bazy NVD. Dwie dotyczą kamery Tapo C210 w wersji sprzętowej 3.6, jedna kamery Tapo C320WS w wersji sprzętowej 2. Każda wymaga, żeby atakujący był w tej samej sieci lokalnej co kamera. Poprawione oprogramowanie jest już dostępne dla obu modeli.

To inne luki niż te w kamerach Tapo C200 i C120, które OPSWAT opisał 16 października.

Tapo C210: dwie luki, logowanie niepotrzebne

Oba błędy w C210 dotyczą interfejsu DS JSON API kamery i można je wykorzystać bez logowania.

CVE-2026-105814 (CVSS v4.0: 5,3, średnia) to obejście uwierzytelniania. Jeśli zapytanie JSON łączy chronioną operację z publicznymi polami używanymi przy pierwszej konfiguracji, kamera niespójnie sprawdza uprawnienia i wykonuje chronioną operację bez ważnej sesji. TP-Link podaje jako przykład sterowanie obrotem, pochyleniem i przybliżeniem (PTZ), więc ktoś z tej samej sieci mógłby odwrócić kamerę w inną stronę.

CVE-2026-105815 (7,1, wysoka) jest groźniejsza dla prywatności. Zapytania do API bez logowania mogą ujawnić wspólne dane uwierzytelniające i metadane kryptograficzne. Usługa Streamd w kamerze przyjmuje to wspólne poświadczenie jako hasło administratora w uwierzytelnianiu Digest. Atakujący może więc otworzyć szyfrowaną sesję multimedialną bez znajomości hasła do konta.

Poprawkę zawiera oprogramowanie V3.6_1.2.7 Build 260818.

Tapo C320WS: pełna kontrola, ale dopiero po zalogowaniu

CVE-2026-105810 (8,5, wysoka) to przepełnienie bufora na stosie w lokalnej ścieżce ustawiania Wi-Fi, z której kamera korzysta przy pierwszej konfiguracji. Zapytanie ze zbyt długim polem zaszyfrowanego hasła nadpisuje stos i uruchamia polecenia z uprawnieniami administratora systemu (root). Atakujący musi być jednak wcześniej zalogowany, a wektor CVSS ocenia wymagane uprawnienia jako wysokie. Kto dojdzie tak daleko, przejmie kamerę: może zmienić jej działanie, odczytać poufne ustawienia lokalne i odciąć ją od sieci.

Poprawkę zawiera oprogramowanie 1.6.6 Build 260917 Rel.81089n.

W komunikacie o C320WS jest drobna pomyłka. Tytuł podaje CVE-2026-105810, a nagłówek w treści CVE-2026-105814, czyli numer luki w C210. W bazie NVD przepełnienie ma numer CVE-2026-105810.

Co zrobić

Sprawdź wersję oprogramowania każdej kamery C210 V3.6 i C320WS V2 i zaktualizuj te, które mają starszą wersję niż podane wyżej. Do plików z oprogramowaniem prowadzą odnośniki w obu komunikatach.

Żadnej z tych trzech luk nie da się wykorzystać z internetu, ale w domu warunek dostępu do sieci lokalnej łatwo spełnić. Spełniają go telefony gości, telewizor i każde inne urządzenie podłączone do tej samej sieci Wi-Fi. Jeśli router na to pozwala, przenieś kamery do osobnej sieci. Wtedy przejęte urządzenie gdzie indziej w domu się do nich nie dostanie.