İki TP-Link açığı, Tapo kameralarda ve TL-WR841N yönlendiricide işletim sistemi komutu çalıştırılmasına imkân veriyor

TP-Link, 1 Ekim 2026'da beş cihazı kapsayan yedi güvenlik açığına ilişkin bir dizi bülteni yayımladı: Tapo C120 ve C200 kameraları, Archer AX90 ve Deco M9 Plus yönlendiricileri ile TL-WR841N yönlendirici. Bir SecurityOnline haberine ve TP-Link'in kendi bültenlerine dayanan dev.to'da yayımlanan bir analize göre yedi açıklıkten ikisi işletim sistemi komutu çalıştırılmasına imkân veriyor. Aynı sonucu ürseler de buralara çok farklı yollardan ulaşıyorlar ve bu fark, savunmacıların nasıl tepki vermesi gerektiğini değiştiriyor.

İki açık, iki farklı yol

İlki, CVE-2026-102369, Tapo C120 V1 ve C200 V5'i etkiliyor ve CVSS 4.0 skorununca 8.7 puan taşıyor. dev.to analizinde açıklandığı gibi bu tek bir hata değil, bir zincir. Kamera, oturum açma challenge verilerini zayıf biçimde koruyor; bu da yerel ağdaki bir saldırganın ele geçirdiği oturum açma verilerini yeniden oynatmasına (replay) imkân veriyor. Ardından bir MacTool işleyicisi, saldırganın sağladığı girdiyi düzgün bir şekilde sterilize etmeden komut olarak çalıştırıyor. Tek ön koşul ağ komşuluğu — geçerli kimlik bilgisi gerekmiyor — ve bu birleşim skoru 8.7'ye taşıyor.

İkincisi, CVE-2026-102294, TL-WR841N V14'ü etkiliyor ve 8.5 puan alıyor. Bu doğrudan bir injection: yönlendiricinin yapılandırma arayüzü, özenle hazırlanmış bir IPv6 Gateway değeri kabul ediyor ve bunu bir sistem komutuna besliyor. Burada kimlik doğrulama atlatma yok; saldırganın halihazırda kimliği doğrulanmış bir yönetici oturumuna sahip olması gerekiyor ve bu gereksinim, sonuç aynı olsa da skoru 8.5'te tutuyor.

Analiz karşıtlığı net biçimde özetliyor: birinci açık, komut çalıştırmaya dönüşen bir kimlik doğrulama başarısızlığı; diğeri ise meşru bir oturum açmanın ardındaki bir girdi doğrulama başarısızlığı.

Komut çalıştırmanın her cihazda anlamı

Her iki açık da cihaz üzerinde rastgele komut çalıştırma ile sonuçlanıyor; yani cihazda çalışan tek bir servisin değil, cihazın tamamının kontrolü ele geçirilmiş oluyor. dev.to analizi, kameralarda bunun saklanan yapılandırmayı, ağ kimlik bilgilerini ve kameranın tuttuğu tüm entegrasyonları açığa çıkardığını, ucuz bir cihazı ağ içinde bir sıçrama tahtasına dönüştürdüğünü belirtiyor. Yönlendiricide ise komut çalıştırma, arkasındaki tüm cihazlar için yönlendirme ve isim çözümlemenin kontrolünü ve web arayüzünün ötesinde kalıcılık kurma yeteneğini ele geçirmek anlamına geliyor.

Düzeltilmiş firmware sürümleri

Analiz, her model ve donanım sürümüne özgü olan şu düzeltilmiş yapıları listeliyor:

• Tapo C120 V1: 1.9.4 Build 260813
• Tapo C200 V5: 1.4.6 Build 260709
• TL-WR841N V14: İngilizce sürüm için 4.19 Build 260821, ABD sürümü için 4.19 Build 260820

Güncellemeden sonra analiz, her cihazda ortaya çıkan build dizgisinin doğrulanmasını öneriyor.

Ortaya çıkma ve istismar durumu

Her iki açık için de aktif istismar bildirimi yok ve doğrulanmış herkese açık bir proof-of-concept bulunmuyor. Analizde alıntılanan ZoomEye sorguları başlığa göre Tapo, Archer ve Deco ürün aileleri için 61.480 gözlem, yalnızca Tapo için 196 gözlem döndürdü; CVE-2026-102369'ye kısıtlı bir sorgu ise sıfır döndürdü — bu kadar yeni bir ifşa için beklenen bir durum. Bu rakamlar ürün ailelerinin görünür popülasyonunu tanımlıyor, savunmasız cihaz sayısını değil ve TL-WR841N, aile başlığı sorgusunda hiç temsil edilmiyor.

Ön koşullara göre farklı önlemler

Ön koşullar farklı olduğu için etkili kontroller de farklı. Kamera açığında kimlik bilgisi hijyeni hiçbir işe yaramıyor; çünkü hataya kimlik doğrulaması olmadan erişilebiliyor. Pratik önlemler, kameraları olağan istemci cihazlarından ayrı bir ağ segmentine koymak ve hangi host'ların onlara erişebileceğini sınırlamak. Yönlendirici açığında ise kimlik bilgileri doğrudan önemli: varsayılan yönetici parolalarını değiştirin, yönetici erişimini kimde tuttuğunu kısıtlayın ve yönetim arayüzünü WAN'a kapatın.

Her iki cihaz türü aynı ağda bulunuyorsa, analiz ikisinden birini seçmek yerine iki kontrol kümesini de uygulamayı öneriyor. Zayıf yönlendirici kimlik bilgileriyle bölümlenmiş bir ağ, TL-WR841N yolunu hâlâ açık bırakıyor; güçlü kimlik bilgileri de kimlik doğrulaması gerektirmeyen kamera yolunu kapatmıyor.

Neden önemli

Tüketici yönlendiricileri ve kameraları, ev ve küçük ofis ağlarındaki en yaygın dağıtılan ve en az bakım yapılan cihazlar arasında ve bu grup, tam cihaz kontrolünü teslim eden açıklıklar taşıyan ikisini birden gösteriyor. Bu ikili ayrıca, birbirine çok yakın CVSS skorlarının — 8.7'ye karşı 8.5 — tamamen farklı saldırı ön koşullarını gizleyebileceğini ve doğru savunma hamlelerini skorun değil bu ön koşulların belirlediğini hatırlatan faydalı bir örnek. Etkilenen Tapo kameraları veya bir TL-WR841N V14 kullanan herkes, modele özgü firmware'i şimdi uygulamalı ve build dizgisinin düzeltilmiş sürümlerle eşleştiğini kontrol etmeli.