Рекомендация по безопасности: некорректная аутентификация в ряде Wi-Fi-ретрансляторов TP-Link (CVE-2026-109506)

Описание уязвимости и ее последствий:

CVE-2026-109506: Некорректная аутентификация в ряде Wi-Fi-ретрансляторов TP-Link

В ряде Wi-Fi-ретрансляторов (усилителей сигнала) TP-Link в процессе входа в веб-интерфейс управления по протоколу HTTP используется специфическое обратимое преобразование данных, основанное на операции XOR и словаре. Злоумышленник, находящийся в той же локальной сети и не прошедший аутентификацию, может перехватить сетевой трафик, связанный с входом легитимного администратора. На основе этих данных он может вычислить альтернативные учетные данные, которые приведут к успешному прохождению аутентификации, и использовать их для получения доступа к веб-интерфейсу управления устройством с правами администратора. Для осуществления атаки необходимо, чтобы при входе в систему управления использовался протокол HTTP, а злоумышленник имел возможность перехватить ключ сессии, словарь и значение учетных данных, связанные с легитимным сеансом администратора.

Успешная эксплуатация уязвимости может позволить неавторизованному смежному злоумышленнику получить права администратора на затронутом устройстве и изменить доступные параметры конфигурации.

Оценка по шкале CVSS v4.0: 5.9 / Средний уровень (Medium)

CVSS:4.0/AV:A/AC:H/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Затронутые продукты/версии и исправления:

Рекомендации:

Мы настоятельно рекомендуем пользователям затронутых устройств выполнить следующие действия:

1. Обновить затронутые устройства до последней версии прошивки, в которой была устранена уязвимость:

EN: Центр загрузок | TP-Link

US: Центр загрузок | TP-Link

Отказ от ответственности:

Данное информационное сообщение предоставляется исключительно в ознакомительных целях и может быть изменено без предварительного уведомления. Информация предоставляется по принципу «как есть», без каких-либо гарантий. Компания TP-Link рекомендует клиентам своевременно устанавливать доступные обновления прошивки или применять задокументированные обходные пути решения проблемы, указанные в данном сообщении. Устройства и системы, на которых не были установлены обновления или не применены меры защиты, могут оставаться уязвимыми. TP-Link не несет ответственности за любые убытки или ущерб, возникшие в результате невыполнения рекомендаций по обновлению.