安全公告：Archer AX90 中的 TDDPv2 setProductVer 指令注入漏洞 (CVE-2026-84682)

漏洞及影響說明：

CVE-2026-84682：Archer AX90 中的 TDDPv2 setProductVer 指令注入漏洞

Archer AX90 V1 位於 /usr/bin/tddp 的 TDDPv2 服務中存在指令注入漏洞。相鄰網絡中未經身分驗證的攻擊者可以利用 setProductVer 指令處理程序，在裝置啟動期間以 root 權限執行任意作業系統指令。

成功利用此漏洞可能導致攻擊者透過具備 root 權限的任意指令執行，從而完全控制裝置。

CVSS v4.0 評分：7.7 / 高風險

CVSS:4.0/CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L

受影響產品/版本及修復方案：

建議措施：

我們強烈建議使用受影響裝置的用戶採取以下措施：

1. 將受影響的裝置更新至已修復該漏洞的最新韌體版本：

EN: 下載 Archer AX90 韌體 | TP-Link

US: 下載 Archer AX90 韌體 | TP-Link

免責聲明：

本公告僅供參考，如有變更，恕不另行通知。本公告所提供的資訊均以「按現狀」（“as is”）方式提供，不含任何形式的保證。TP-Link 建議客戶即時套用可用的韌體更新，或實施本公告中記載的緩解措施。未按照說明進行更新或緩解的裝置/系統可能仍存在安全風險，對於因未實施相關更新而造成的任何損害或損失，TP-Link 概不承擔任何責任。