В роутерах TP-Link обнаружена опасная уязвимость, которую сама TP-Link не торопится устранять. Брешь нашли еще в мае 2024 г., но лишь спустя почти полтора года TP-Link признала проблему. Сроков выпуска патчей нет, что ставит под угрозу кибербезопасность пользователей.
Содержание:
Уязвимость есть, а патча нет
Компания TP-Link, широко известный в России производитель сетевого оборудования, признала наличие в своих роутерах уязвимости нулевого дня, которая позволяет хакерам воровать пароли и даже полностью контролировать реализованную с их помощью сеть. Как пишет профильный портал Bleeping Computer, проблему выявил ИБ-специалист под псевдонимом Mehrun, притом сделал он это еще в мае 2024 г., то есть почти полтора года назад.
Лишь в сентябре 2025 г. TP-Link отреагировала на информацию, опубликованную Mehrun в интернете. Это означает, что у хакеров было целых 17 месяцев на то, чтобы эксплуатировать «дыру» в своих корыстных целях.
Более того, они могут делать это и дальше, потому что признание TP-Link факта наличия проблемы вовсе не означает, что она решила ее. Патч, устраняющий уязвимость, пока находится в разработке, и его нынешнюю версию, далеко не факт, что финальную, могут скачать пока лишь владельцы роутеров с европейскими прошивками. Устройства, предназначенные для США и других регионов, по-прежнему уязвимы.
Кого затронуло
По данным Mehrun, роутеров TP-Link с найденной им уязвимостью внутри сравнительно немного, однако все они доступны для приобретения в России. В первую очередь это модель Archer AX10 ревизий V1, V1.2, V2 и V2.6 с прошивками 1.3.2, 1.3.8, 1.3.9, 1.3.10.
Проблема также имеется в роутере AX1500. Потенциальная опасность висит и над владельцами маршрутизаторов EX141, Archer VR400 и TD-W9970.
Один из уязвимых роутеров в российской рознице
Каждая из этих моделей на момент выхода материала была доступна в российских сетевых магазинах электроники и на маркетплейсах. Цены – от 2500 руб. до 7500 руб. в зависимости от модели.
Что известно об уязвимости
Брешь в новых роутерах ока не классифицирована – у нее нет идентификатора CVE и уровня опасности. По данным Bleeping Computer, ее эксплуатация приводит к переполнению буфера в реализации протокола CWMP (CPE WAN Management Protocol), который применяется при удаленном администрировании роутеров.
Mehrun выяснил, что проэксплуатировать уязвимость можно не только на роутерах со старыми прошивками. Если пользователь не стал менять в настройках устройства пароль администратора с заводского на собственный, это тоже является лазейкой для хакеров.
Не все роутеры одинаково безопасны
В случае успеха перед взломщиком открывается очень широкое окно возможностей. В числе прочего, он сможет полностью перехватывать незашифрованный трафик, перенаправлять все запросы на нужные ему DNS-серверы и многое другое. На руках у хакера также могут оказаться все пользовательские пароли, если те передаются по незашифрованным каналам.
Фирменные «костыли» от TP-Link
Компания TP-Link сообщила, что найденная Mehrun полтора года назад уязвимость прямо сейчас анализируется с целью выявления степени ее угрозы. Пользователям, чьи роутеры пока не получили патч безопасности, компания рекомендует как минимум сменить стандартный пароль администратора.
Также TP-Link советует временно отключить протокол CWMP, если он не используется в работе сети. Прошивку тоже стоит обновить до самой последней версии из доступных.
В дополнение к этому TP-Link посоветовала не использовать роутеры, которые совершенно точно содержат уязвимость, в своих сетях. Советовать пользователям купить другую модель TP-Link пока не стала.
Масштабы неизвестны
TP-Link не раскрывает объемы продаж роутеров, которые еще не успела пропатчить. В России компания долгое время была одним из лидеров, а в 2013 г. и вовсе заняла 40% российского рынка беспроводного сетевого оборудования (данные Tadviser).
В 2020 г. TP-Link сообщила о почти 26-процентном росте выручки год к году. В 2021 г. ее выручка увеличилась на 12,1% в сравнении с 2020 г., а в 2022 г. – на 8,1% на фоне 2021 г.
В 2024 г. ситуация изменилась кардинально. Выручка TP-Link в России просела почти на треть год к году – 6,69 млрд руб. против 10,26 млрд руб. в 2023 г. Чистая прибыль за тот же период упала на 52,4% – с 1,75 млрд руб. до 830,56 млн руб.
