セキュリティアドバイザリ：Tapo L535E・P300・D100Cにおける初期設定時のBluetooth通信で暗号化されていない通信が使用される脆弱性（CVE-2026-34126）

脆弱性および影響の説明：

CVE-2026-34126

TP-Linkは、Tapo L535E v1・Tapo P300 v1・Tapo D100C v1において、初期設定時のBluetooth通信が暗号化されず、平文で送信される脆弱性を確認しました。Bluetoothは初期設定時にのみ使用されます。

Bluetooth通信範囲内にいる攻撃者は、Bluetoothスニッフィングや中間者攻撃の手法を用いてこの挙動を悪用できる可能性があります。これにより、Bluetooth通信の盗聴、送信される設定データの改ざん、初期設定中のデバイスに対する不正な制御の取得につながるおそれがあります。

CVSS v4.0スコア：7.3 / 高

CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N

影響を受ける製品/バージョンおよび修正：

注：D100CはTapoカメラに同梱されているチャイムで、以下のTapo製品に同梱されています。

Tapo D210・Tapo D235

推奨事項：

影響を受けるデバイスをお使いのユーザーには、以下の対応を強く推奨します。

1. 影響を受けるデバイスを、この脆弱性が修正された最新のファームウェアバージョンにアップデートしてください。

Tapo P300 Content | TP-Link Japan

Tapo L535E Contents | TP-Link Japan

2. Tapoアプリを開き、デバイス一覧からチャイムを選択して、設定（歯車アイコン）に移動し、「ファームウェアアップデート」をタップしてD100Cのファームウェアをアップデートしてください。

免責事項：

本アドバイザリは情報提供のみを目的として提供されるものであり、予告なく変更される場合があります。情報は、いかなる種類の保証もなく「現状有姿」で提供されます。TP-Linkは、お客様に対し、利用可能なファームウェアアップデートを速やかに適用すること、または本アドバイザリに記載された回避策を実施することを推奨します。記載されたアップデートまたは緩和策が適用されていないデバイス/システムは、引き続き脆弱な状態となる可能性があります。TP-Linkは、これらのアップデートを実施しなかったことに起因して発生した損害または損失について、一切の責任を負いません。