14 października 2026 TP-Link opublikował komunikat o luce CVE-2026-108473. To brak uwierzytelniania (CWE-306) w lokalnym protokole zarządzania 24 modeli z serii Kasa: inteligentnych gniazdek, listew zasilających, włączników ściennych, żarówek i taśm LED. Napastnik podłączony do tej samej sieci lokalnej może wysyłać polecenia zarządzania bez logowania i zmieniać stan albo ustawienia urządzenia. TP-Link ocenia lukę na 8,7 punktu (wysokie zagrożenie) w skali CVSS v4.0. Atak nie wymaga żadnych uprawnień ani działania ze strony użytkownika.

Jest też druga część, zależna od okoliczności. Według TP-Link „w pewnych warunkach użytkowania”, gdy w grę wchodzą aplikacja mobilna, urządzenie i usługa w chmurze, dane związane z kontem nie są dostatecznie chronione. Mogą wtedy wyciec informacje o koncie, a w efekcie ktoś może przejąć konto w chmurze TP-Link. Komunikat nie opisuje bliżej tych warunków.

Których modeli dotyczy i jakie oprogramowanie usuwa lukę

Na liście są gniazdka i włączniki HS103 V5, EP10 V1, EP40 V1, EP40A V1, HS200 V5, HS210 V3, HS220 V3, HS300 V2, KP115 V1, KP200 V3, KP303 V2, KP400 V3, KP401 V1, KP405 V1, KS200 V1, KS200M, KS220, KS220M, ES20M i zestaw KS230 KIT V2, a także żarówki KL110 V4, KL125 V4 i KL135 V2 oraz taśma LED KL420L5 V1. Kilka przykładów wersji z poprawką:

  • HS103 V5: 1.1.3 Build 250908 Rel.112508
  • KP115 V1: 1.1.1 Build 250908 Rel.112945
  • HS300 V2: 1.1.2 Build 241220 Rel.171333
  • KL125, KL135 i KL110: 1.1.1 Build 260710 Rel.082646
  • KL420L5 V1: 1.4.2 Build 260605 Rel.035033

Wersję dla swojej rewizji sprzętu sprawdź w pełnej tabeli w komunikacie. Wiele poprawionych wydań ma numery w rodzaju 241220 albo 250225, co sugeruje, że poprawione oprogramowanie jest dostępne od miesięcy. Jeśli urządzenia aktualizują się automatycznie, mogą być już bezpieczne, ale nie zakładaj tego w ciemno i sprawdź wersję w aplikacji Kasa.

Na ile się przejmować

Wektor ataku to sieć sąsiednia, więc nikt nie wykorzysta luki prosto z internetu. Napastnik musi najpierw dostać się do sieci lokalnej: może to być gość, który zna hasło do Wi-Fi, zainfekowany laptop albo inne przejęte urządzenie IoT. Według OpenCVE wskaźnik EPSS wynosi poniżej 1%, a luki nie ma w katalogu aktywnie wykorzystywanych podatności CISA (Known Exploited Vulnerabilities).

Mimo to warto poświęcić jej wieczór. Zaktualizuj każde urządzenie Kasa z listy do podanej wersji oprogramowania. Jeśli trzymasz sprzęt inteligentnego domu w osobnej sieci VLAN, to właśnie na wypadek takich błędów warto ją mieć. Po stronie chmury silne, unikalne hasło i uwierzytelnianie dwuskładnikowe na koncie TP-Link ograniczą szkody, gdyby dane konta jednak wyciekły.