14 października 2026 TP-Link opublikował komunikat bezpieczeństwa o luce CVE-2026-109506 we wzmacniaczach sygnału Wi-Fi z serii RE. Dotyczy ona logowania do panelu administracyjnego w przeglądarce. Jeśli ktoś w tej samej sieci lokalnej przechwyci prawdziwe logowanie administratora, może wyliczyć dane, które wzmacniacz zaakceptuje, i zalogować się z uprawnieniami administratora. Poprawione oprogramowanie jest już dostępne dla 16 wersji sprzętowych.
Na czym polega atak
Według komunikatu wzmacniacze zabezpieczają logowanie przez HTTP własnym, odwracalnym przekształceniem opartym na operacji XOR i słowniku. Napastnik, który podejrzy klucz sesji, słownik i wartość logowania z prawdziwego logowania administratora, może obliczyć inną wartość dającą ten sam, akceptowany wynik. Nie musi to być oryginalne hasło, ale działa jak ono.
Atak nie jest łatwy. Logowanie musi odbywać się przez HTTP, napastnik musi być w tej samej sieci lokalnej i przechwycić ruch dokładnie wtedy, gdy administrator się loguje. Dlatego TP-Link ocenia lukę na 5,9 punktu w skali CVSS 4.0, czyli jako średnio poważną. Wektor oceny wskazuje dużą złożoność ataku, dostęp z sieci lokalnej i potrzebny udział użytkownika, a skutki dla poufności określa jako poważne. Z uprawnieniami administratora napastnik może zmieniać ustawienia wzmacniacza.
Których modeli to dotyczy
| Model | Wersja sprzętowa | Poprawione oprogramowanie |
|---|---|---|
| RE190 | V5 | V5_260904 |
| RE200 | V5 | V5_260904 |
| RE205 | V4 | V4_260904 |
| RE215 | V1 | V1_260904 |
| RE220 | V3 | V3_260904 |
| RE230 | V2 | V2_260904 |
| RE300 | V2 | V2_260904 |
| RE305 | V4 | V4_260904 |
| RE315 | V1 | V1_260904 |
| RE330 | V1 | V1_260904 |
| RE335 | V1 | V1_260904 |
| RE365 | V2 | V2_260904 |
| RE365 | V3 | V3_260904 |
| RE750C | V4 | V4_260904 |
| RE450 | V4 | V4_260915 |
| RE550 | V1 | V1_260915 |
Wersja sprzętowa jest zwykle podana na naklejce na obudowie. Aktualizacje dla wymienionych modeli są w centrum pobierania na stronie TP-Linka.
Co zrobić
Wgraj poprawione oprogramowanie. Wzmacniacz potrafi latami wisieć w gniazdku na korytarzu, a nikt się do niego nie loguje, więc warto to sprawdzić, nawet jeśli sieć działa bez zarzutu. Dopóki nie zaktualizujesz urządzenia, nie loguj się do jego panelu, gdy w tej samej sieci są urządzenia, którym nie ufasz, na przykład telefon gościa albo tania kamera, która nie jest odcięta od reszty sieci. Atak potrzebuje właśnie takiej chwili.
Sieć dla gości albo osobna sieć dla urządzeń inteligentnego domu dodatkowo zawęża krąg tych, którzy w ogóle są „w tej samej sieci”.