TP-Link Tapo C200, due zero-day permettono accesso ai feed video per chi ha

OPSWAT ha divulgato due vulnerabilità zero-day nella telecamera TP-Link Tapo C200 che compromettono il meccanismo di autenticazione locale. Un attaccante con accesso di rete adiacente può ottenere privilegi amministrativi senza conoscere la password, accedendo a flussi video live e registrazioni memorizzate. Il vendor ha rilasciato il firmware V5_1.4.6 il 18 agosto 2026, ma una terza vulnerabilità critica resta sotto disclosure coordinata.

Come funziona il bypass: il challenge-response che si annulla da solo

Il meccanismo vulnerabile risiede nel servizio HTTPS di gestione locale sulla porta 443. In un protocollo challenge-response corretto, il server genera un valore casuale, il client lo cifra con la password dell'utente e restituisce il risultato. La verifica confronta la risposta con il calcolo atteso dal server.

Nel caso della Tapo C200, il server accetta come valida una risposta che ripropone esattamente il challenge originale, senza richiedere alcuna derivazione dalla password dell'amministratore. Questo fallimento rompe la proprietà fondamentale del meccanismo: la risposta deve dimostrare la conoscenza della password, non semplicemente la capacità di restituire il valore ricevuto.

OPSWAT ha documentato la tecnica in un video PoC realizzato in condizioni di laboratorio controllate. L'exploit non richiede credenziali né interazione dell'utente: l'attaccante cattura il challenge, lo inoltra inalterato e ottiene sessione amministrativa.

Cosa esponi: non solo il live stream, ma la cronologia registrata

L'accesso amministrativo ottenuto tramite CVE-2026-15315 supera il mero sguardo sul feed in tempo reale. Secondo OPSWAT, "the resulting administrative access enables the attacker to invoke privileged management functions, modify device configuration and perform operations that would normally require authorized administrator access".

Il rischio di privacy è concreto: le telecamere Tapo C200 sono diffuse in ambienti domestici e piccoli uffici per monitoraggio baby, animali domestici e sicurezza SOHO. OPSWAT specifica che "this access may also expose privacy-sensitive camera functionality, including live video streams and stored recordings, enabling unauthorized surveillance of footage captured by the affected device".

Il vettore di attacco richiede accesso di rete adiacente (AV:A nel vettore CVSS 4.0). Per la maggior parte degli utenti domestici con rete standard protetta da NAT, questo limita il rischio di exploit da internet. La superficie di attacco si espande in scenari con port forwarding attivo sulla porta 443, reti Wi-Fi già compromesse, o presenza di attaccanti con accesso alla rete locale.

La seconda falla: DoS durante l'onboarding Wi-Fi

CVE-2026-15316 colpisce la fase di configurazione iniziale del dispositivo. Un attaccante con accesso di rete può inviare un valore di credenziale criptata deliberatamente sovradimensionato al servizio HTTPS della telecamera in fase di onboarding, causandone il crash.

Il record NVD per questa vulnerabilità è incompleto nel materiale disponibile. OPSWAT descrive l'impatto come limitato alla disponibilità: l'attacco durante l'onboarding impedisce la configurazione del dispositivo. Non è noto se il crash forzi il ripristino a condizioni precedenti o se riapra la superficie di altre vulnerabilità.

La terza ombra: un problema critico ancora sigillato

Il dossier OPSWAT menziona una terza vulnerabilità critica rimasta sotto disclosure coordinata con TP-Link. La fonte la descrive come potenzialmente in grado di permettere la compromissione completa della telecamera e l'utilizzo del dispositivo come foothold nella rete locale.

La natura tecnica esatta della falla non è nota. Dahvid Schloss, COO di Suzu Labs, ha ipotizzato un possibile profilo da command injection o memory safety, ma questa lettura non è confermata da OPSWAT né dalla documentazione ufficiale. La mancata divulgazione impedisce di valutare la presenza di mitigazioni temporanee o la complessità di un eventuale exploit.

"If someone's made it that far into your network, they're not after the baby monitor" — Dahvid Schloss, COO Suzu Labs

Cosa fare adesso

• Verificare che il firmware della telecamera Tapo C200 v5 o C120 v1 sia aggiornato alla versione V5_1.4.6 Build 260709 Rel.27675n, rilasciata il 18 agosto 2026.
• Rimuovere eventuali regole di port forwarding verso la porta 443 delle telecamere.
• Isolare le telecamere IoT in una VLAN o rete segmentata, limitando l'accesso adiacente a dispositivi non autorizzati.
• Monitorare i log del router per connessioni sospette alla porta 443 delle telecamere.

Perché queste flaw meritano attenzione oltre il singolo dispositivo

La persistenza di un authentication bypass basico su un prodotto TP-Link moderno ha attirato commenti dalla comunità di sicurezza. Dahvid Schloss ha osservato: "That attack chain isn't uncommon on cheap, older consumer IoT devices where security wasn't top of mind, but if that's the case here, seeing it hold up on a modern TP-Link device would be a bit of a blast from the past".

TP-Link gestisce il programma di disclosure coordinata attraverso il proprio security advisory [5248]. L'advisory conferma l'esistenza del programma ma non fornisce dettagli tecnici aggiuntivi rispetto alla documentazione OPSWAT.

Domande frequenti

Le vulnerabilità sono sfruttabili da remoto?

No. Il vettore CVSS 4.0 indica AV:A (Attack Vector: Adjacent), che richiede accesso di rete adiacente. Non è possibile sfruttare le flaw da internet senza compromissione preliminare della rete locale o configurazioni di port forwarding attive.

Il firmware V5_1.4.6 corregge anche la terza vulnerabilità?

Non è noto se il firmware V5_1.4.6 corregga anche la terza falla. La vulnerabilità resta sotto disclosure coordinata e OPSWAT non ha divulgato dettagli su eventuali fix parziali o completi.

Quanti dispositivi sono a rischio?

I prodotti affetti specificati sono il Tapo C200 v5 con firmware precedente a V5_1.4.6 Build 260709 Rel.27675n e il Tapo C120 v1 con firmware precedente a 1.9.3 Build 260521. Non è disponibile il numero esatto di dispositivi non patchati.

Limiti delle fonti

Questo articolo si basa principalmente sull'advisory OPSWAT e sul record NVD per CVE-2026-15315. TP-Link non ha rilasciato un advisory dettagliato pubblico oltre alla conferma del programma disclosure [5248]. Il record NVD per CVE-2026-15316 è incompleto nel materiale disponibile. Le analisi di impatto di Dahvid Schloss rappresentano valutazioni di esperti, non conferme del vendor o del ricercatore che ha scoperto le vulnerabilità.

Fonti: OPSWAT (advisory originale), NVD (record CVE-2026-15315), Infosecurity Magazine (reporting con citazioni), TP-Link (programma disclosure [5248])