Le telecamere TP-Link Tapo sono dispositivi di sicurezza intelligenti ampiamente utilizzati, progettati per il monitoraggio di abitazioni e piccole imprese. Essendo telecamere connesse in rete, questi dispositivi combinano lo streaming video, la gestione remota, l’integrazione con l’app " mobile " e altri servizi all’interno di un sistema integrato compatto.
Punti salienti
- Prodotto interessato: OPSWAT ha individuato due vulnerabilità nella telecamera di sicurezza intelligente TP-Link Tapo C200
- ID CVE: CVE-2026-15315, CVE-2026-15316
- Tipi di vulnerabilità: CVE-2026-15315 - Bypass dell'autenticazione tramite attacco di replay nell'interfaccia di gestione locale (un aggressore non autenticato può ottenere una sessione amministratore valida senza password); CVE-2026-15316 - DOS (denial-of-service) dovuto a una convalida insufficiente degli input durante la configurazione del Wi-Fi (provoca il crash del servizio HTTPS della videocamera)
- Requisiti per l'attacco: accesso alla rete della telecamera; non sono necessarie né l'autenticazione né l'interazione da parte dell'utente
- Stato della patch: Risolto
- Versione firmware corretta: V5_1.4.6 (pubblicata il 18 agosto 2026)
- Azione richiesta: aggiornare immediatamente le telecamere interessate al firmware V5_1.4.6 o versioni successive
Questa connettività rende inoltre la sicurezza particolarmente importante. Una vulnerabilità che consenta a un malintenzionato di aggirare l'autenticazione o di accedere a funzionalità privilegiate potrebbe compromettere la telecamera e potenzialmente fornire un punto d'appoggio all'interno della rete in cui il dispositivo è installato.
Noi di OPSWAT contribuiamo attivamente alla comunità della sicurezza informatica attraverso la ricerca sulle vulnerabilità e la divulgazione responsabile. Contribuiamo inoltre alla formazione della prossima generazione di ricercatori nel campo della sicurezza informatica attraverso il OPSWAT Programma di borse di studio post-laurea sulla sicurezza informatica delle infrastrutture critiche, grazie al quale i borsisti acquisiscono esperienza pratica nell’analisi delle minacce alla sicurezza nel mondo reale.
Nell’ambito di questo programma, Khoi Tran ha scelto una telecamera TP-Link Tapo C200 come oggetto della sua ricerca indipendente sulla sicurezza, condotta sotto la guida di Thai Do dell’ Unità 515 dell’ OPSWAT .
La ricerca ha portato alla scoperta delle prime due vulnerabilità finora sconosciute, ora identificate come CVE-2026-15315 e CVE-2026-15316. I risultati riguardano l’autenticazione e la disponibilità. Una delle vulnerabilità può consentire a un malintenzionato con accesso alla rete di aggirare il meccanismo di autenticazione locale della telecamera, mentre l’altra può essere sfruttata per interrompere il normale funzionamento del dispositivo e causare una condizione di DoS (denial-of-service).
Dalla ricerca all’individuazione delle vulnerabilità
Il percorso che ha portato alla scoperta di questa catena di attacchi è iniziato quando Khoi Tran e Thai Do hanno esaminato il firmware e i meccanismi di comunicazione locale del TP-Link Tapo C200, prestando particolare attenzione alla sicurezza delle sue funzionalità di gestione locale, presso il laboratorio di OPSWAT.
Nel corso della ricerca, abbiamo individuato una vulnerabilità inaspettata nel processo di autenticazione della telecamera. Khoi e Thai hanno continuato ad analizzare le funzionalità di gestione con privilegi della telecamera. Da questa indagine è emersa una seconda vulnerabilità che potrebbe essere sfruttata per compromettere la disponibilità del dispositivo.
Cronologia delle comunicazioni
- 16 aprile 2026: Khoi Tran e Thai Do di OPSWAT hanno segnalato le vulnerabilità a TP-Link.
- 10 luglio 2026: TP-Link ha confermato i risultati e ha iniziato a lavorare alle correzioni per le vulnerabilità segnalate.
- 13 agosto 2026: alle vulnerabilità sono stati assegnati i codici CVE-2026-15315 e CVE-2026-15316.
- 18 agosto 2026: TP-Link ha rilasciato la versione V5_1.4.6 del firmware, che risolve le vulnerabilità, e ha pubblicato la relativa nota di sicurezza.
La ricerca sulla TP-Link Tapo C200 va oltre le due vulnerabilità rese note in questo blog. Khoi Tran e Thai Do hanno individuato ulteriori problemi di sicurezza nel corso della loro indagine, tra cui una vulnerabilità critica che potrebbe consentire a un malintenzionato di compromettere completamente la telecamera e utilizzare il dispositivo compromesso come punto d’appoggio all’interno della rete; tuttavia, tali risultati sono ancora oggetto di una procedura di divulgazione coordinata con TP-Link e non rientrano quindi nell’ambito della presente pubblicazione.
OPSWAT continua a collaborare strettamente con TP-Link per la verifica e la risoluzione del problema. Ulteriori dettagli tecnici saranno resi noti non appena saranno disponibili le opportune correzioni e sarà completato il processo di divulgazione coordinata.
All'interno delle vulnerabilità
Le due vulnerabilità individuate nel corso della nostra ricerca interessano diversi livelli di sicurezza all’interno del TP-Link Tapo C200. La vulnerabilità CVE-2026-15315 riguarda il meccanismo di autenticazione della telecamera, mentre la vulnerabilità CVE-2026-15316 riguarda l’elaborazione dei dati di configurazione durante la configurazione iniziale del dispositivo. Entrambe possono essere sfruttate da un malintenzionato non autenticato che disponga di accesso alla rete del dispositivo interessato.
La seguente analisi fornisce una panoramica tecnica di alto livello delle funzionalità interessate, delle falle di sicurezza sottostanti e del loro impatto. Al fine di ridurre al minimo il rischio di uso improprio, OPSWAT non divulga dettagli a livello di implementazione che potrebbero essere utilizzati per riprodurre o sfruttare le vulnerabilità.
CVE-2026-15315: Aggiramento dell'autenticazione tramite replay
La TP-Link Tapo C200 espone la propria interfaccia di gestione locale tramite HTTPS sulla porta 443 e utilizza un meccanismo di tipo "challenge-response" per autenticare gli utenti. Nel flusso di autenticazione previsto, la telecamera genera una richiesta (challenge) e richiede al client di restituire una risposta corrispondente, derivata dalla password dell'utente, prima che venga stabilita una sessione autenticata.
Durante l'analisi del firmware, Khoi Tran e Thai Do hanno individuato un percorso di autenticazione alternativo che non applica la stessa verifica delle credenziali. In determinate condizioni, un valore restituito dalla fotocamera durante lo scambio di autenticazione può essere riprodotto in una richiesta successiva ed essere accettato dalla logica di verifica interessata.
Ciò compromette una proprietà fondamentale del meccanismo challenge-response. Anziché richiedere al client di dimostrare di conoscere la password dell'utente, il percorso vulnerabile consente a un valore proveniente dalla stessa telecamera di soddisfare parte del processo di autenticazione.
Un malintenzionato che disponga di accesso di rete alla telecamera interessata può sfruttare questo comportamento per ottenere una sessione amministrativa valida senza conoscere né recuperare la password dell'utente. Non è richiesta alcuna sessione autenticata esistente e l'aggiramento può essere effettuato tramite un numero limitato di richieste all'interfaccia di gestione locale.
Una volta autenticato, l'autore dell'attacco ottiene l'accesso alle funzionalità di gestione normalmente riservate all'amministratore della telecamera, il che gli consente di apportare modifiche non autorizzate alla configurazione del dispositivo e di eseguire altre operazioni con privilegi elevati.
CVE-2026-15316: Denial-of-Service durante la configurazione iniziale del dispositivo
La seconda vulnerabilità è presente nella procedura di configurazione iniziale della telecamera, durante la quale il dispositivo elabora le credenziali Wi-Fi crittografate.
I dati relativi alle credenziali crittografati devono essere sottoposti a un'adeguata verifica prima di essere trasmessi alle routine crittografiche e di elaborazione della configurazione. Tuttavia, dalla nostra analisi è emerso che il percorso di elaborazione interessato non verifica adeguatamente la dimensione dei dati relativi alle credenziali crittografati prima di elaborarli.
Un utente malintenzionato non autenticato che disponga di accesso di rete alla telecamera può inviare un valore di credenziale crittografato di dimensioni eccessive. Quando i dati non validi raggiungono il percorso di elaborazione vulnerabile, possono causare il blocco del servizio HTTPS della telecamera, provocando una condizione di denial-of-service.
L'impatto è particolarmente rilevante nel caso di una telecamera di sicurezza collegata in rete, dove l'interruzione dei servizi di gestione può impedire agli utenti legittimi di accedere al dispositivo o di gestirlo fino al ripristino del servizio interessato.
Scenario di attacco
Un malintenzionato con accesso di rete a un dispositivo TP-Link Tapo C200 interessato dalla vulnerabilità potrebbe sfruttare la CVE-2026-15315 per aggirare il meccanismo di autenticazione locale della telecamera e stabilire una sessione amministrativa valida senza conoscere la password dell’utente legittimo. L’accesso amministrativo così ottenuto consente all’autore dell’attacco di richiamare funzioni di gestione con privilegi, modificare la configurazione del dispositivo ed eseguire operazioni che normalmente richiederebbero l’accesso autorizzato di un amministratore. Tale accesso potrebbe inoltre rendere accessibili funzionalità della telecamera sensibili dal punto di vista della privacy, tra cui streaming video in diretta e registrazioni archiviate, consentendo la sorveglianza non autorizzata delle immagini acquisite dal dispositivo interessato.
Abbiamo realizzato un video PoC (proof-of-concept) che illustra l'impatto sulla sicurezza delle vulnerabilità individuate da Khoi Tran e Thai Do in condizioni di laboratorio controllate. https://opswat-1.wistia.com/s/....
Misure correttive per CVE-2026-15315 e CVE-2026-15316
Il 18 agosto 2026, TP-Link ha pubblicato l’ avviso di sicurezza e ha rilasciato la versione del firmware V5_1.4.6 per risolvere le vulnerabilità CVE-2026-15315 e CVE-2026-15316. Gli utenti e le organizzazioni che utilizzano le telecamere TP-Link Tapo C200 interessate dovrebbero effettuare l'aggiornamento al firmware più recente fornito da TP-Link per risolvere le vulnerabilità individuate.
Poiché lo sfruttamento di tali vulnerabilità richiede l'accesso alla rete della telecamera interessata, ridurre l'esposizione non necessaria fornisce un ulteriore livello di protezione. Le interfacce di gestione delle telecamere non dovrebbero essere esposte a reti non affidabili e l'accesso dovrebbe essere limitato, ove possibile, a dispositivi e utenti autorizzati. Negli ambienti aziendali, i dispositivi IoT e di sorveglianza dovrebbero inoltre essere collocati su reti opportunamente segmentate per limitare la loro esposizione a sistemi sensibili e ridurre il potenziale impatto di un dispositivo compromesso.
Implicazioni più ampie in materia di sicurezza
Al di là di queste specifiche vulnerabilità, i risultati evidenziano l’importanza di valutare la sicurezza dei dispositivi connessi al di là delle loro funzionalità previste. I meccanismi di autenticazione, i flussi di lavoro di onboarding e le interfacce di gestione dei dispositivi possono introdurre punti deboli di sicurezza che potrebbero non essere evidenti durante il normale funzionamento, ma che, se sfruttati, possono compromettere in modo significativo la riservatezza, l’integrità e la disponibilità del dispositivo.
Un approccio a più livelli alla sicurezza di rete può ridurre ulteriormente i rischi associati ai dispositivi IoT vulnerabili o compromessi. OPSWAT MetaDefender NAC Fornisce visibilità e controllo degli accessi per i dispositivi IoT e altri dispositivi connessi alla rete e supporta la segmentazione della rete tramite ACL e assegnazione di VLAN. Queste funzionalità possono aiutare le organizzazioni a controllare quali dispositivi sono autorizzati sulla rete e a limitarne l'accesso alle altre risorse di rete.
Questa ricerca è stata condotta nell’ambito del programma di borse di studio post-laurea “ OPSWAT ” sulla sicurezza informatica delle infrastrutture critiche, con il tutoraggio dell’Unità 515 dell’ OPSWAT . Attraverso la ricerca pratica sulle vulnerabilità e la divulgazione responsabile, OPSWAT continua a contribuire all’identificazione e alla risoluzione delle falle di sicurezza nelle tecnologie utilizzate negli ambienti connessi.
Le organizzazioni che intendono valutare la sicurezza dei propri prodotti, delle proprie applicazioni o della propria infrastruttura possono rivolgersi a OPSWAT Unit 515 per test di penetrazione avanzati e valutazioni di sicurezza progettati per identificare le vulnerabilità prima che possano essere sfruttate.
