Forescout: 15 חולשות ב-TP-Link Omada עלולות להוביל להשתלטות על רשת שלמה
חברת האבטחה Forescout חשפה ב-4 באוגוסט 15 חולשות במנגנון ההקמה האוטומטית של TP-Link Omada. לדבריה, שרשור שלהן עלול להשתלט על בקר ועל כל ציוד הרשת שהוא מנהל.
TL;DR בקצרה
- Forescout פרסמה ב-4 באוגוסט 2026, במקביל לכנס Black Hat, 15 חולשות חדשות ב-ZTP של TP-Link Omada.
- Forescout משלבת את הממצאים עם שתי חולשות ישנות, CVE-2025-7850 ו-CVE-2025-7851, ולדבריה השילוב פוגע באמון בין הבקר למכשירים.
- ל-11 חולשות יש CVE. TP-Link סירבה להנפיק CVE לארבע, בנימוק של חומרה נמוכה.
- מעל 1,800 בקרי Omada חשופים ישירות לאינטרנט, ו-TP-Link ממליצה לא לחשוף אותם.
Forescout חשפה 15 חולשות חדשות במנגנון ההקמה האוטומטית של TP-Link Omada, ולדבריה אפשר לשרשר אותן להשתלטות על רשת שלמה. בשם zero-touch provisioning, או ZTP, מכנים את המנגנון הזה. Forescout פרסמה את המחקר ב-4 באוגוסט 2026, במקביל להרצאה בכנס Black Hat USA. TP-Link פרסמה תיקונים, אבל לא ברור שהם סוגרים הכול.
ZTP ב-TP-Link Omada: איך זה עובד ואיפה הבעיות
ZTP מאפשר למכשיר חדש למצוא בקר מרכזי ולקבל ממנו הגדרות, סיסמאות ועדכוני קושחה. אין צורך בהגדרה ידנית. הבקר מנהל את המכשיר ודוחף אליו שינויים. הקשר ביניהם נשען על אמון, והאמון נבנה על מפתחות וסיסמאות. לפי Forescout, פריצה לבקר חושפת כל מכשיר שהוא מנהל.
לפי Forescout, החולשה המרכזית היא תעודות ומפתחות פרטיים שקבועים בקוד של בקרי Omada. אפשר לחלץ אותם ולהשתמש בהם שוב. בין שאר הבעיות: העברה לא בטוחה של סיסמאות, בדיקה חלשה של תעודות ומספרים סידוריים שאפשר לנחש. יש גם מצב תחרות בהצטרפות דרך הענן, וחולשת XSS בממשק הווב של הבקרים.
ל-11 מהחולשות יש מספרי CVE. אלה CVE-2025-9289 עד CVE-2025-9293, CVE-2025-15544 ו-CVE-2025-15627 עד CVE-2025-15631. לארבע האחרות אין מספר. לפי SecurityWeek, TP-Link סירבה להנפיק להן CVE, בנימוק של חומרה נמוכה.
מה שרשרת החולשות מאפשרת לתוקף
Forescout משלבת את הממצאים החדשים עם שתי חולשות ישנות להרצת פקודות, CVE-2025-7850 ו-CVE-2025-7851. לדבריה, השילוב מאפשר להיכנס לרשת דרך בקרים ומכשירי קצה. התוקף מזהה מכשירים שממתינים להצטרפות ומשיג מהם הגדרות רגישות. אחר כך הוא משתמש בפרטי מנהל גנובים כדי לשנות הגדרות במכשירים של הבקר. כך הוא מגיע לרשת הפנימית.
הבעיה לא מוגבלת ל-Omada. לפי Forescout, אותו עיצוב של אמון מופיע גם במצלמות VIGI, בנתבי Festa ובמוצרי הבית החכם Tapo ו-Kasa, שחולקים תשתית ענן. אפליקציות של TP-Link מונות יחד מעל 70 מיליון הורדות ב-Google Play. החוקרים מעריכים ש-3 עד 7 מיליון חשבונות פעילים קשורים לשרשרת האמון הפגיעה.
מעל 1,800 בקרי Omada חשופים ישירות לאינטרנט, לפי Forescout. הם לא נועדו לכך, והחוקרים רואים בהם חריגים. אבל בקר חשוף הוא בדיוק היעד שתוקף מחפש.
תיקונים של TP-Link Omada: מה יצא ומה עדיין פתוח
המקורות לא מסכימים על היקף התיקון. לפי BleepingComputer, TP-Link פרסמה תיקונים ל-15 החולשות ואת הודעת האבטחה. משתמשים צריכים להוריד קושחה עדכנית מפורטל ההורדות של Omada. לפי SecurityWeek, התיקונים מכסים רק חלק מהבעיות. את חלק מה״חולשות המבניות״ TP-Link תסגור רק בהמשך 2026, ובחלק מהחולשות בחומרה נמוכה היא לא תטפל.
המקורות לא מפרטים אילו גרסאות קושחה מתוקנות. לכן צריך לבדוק את הדגם שלכם בהודעת האבטחה של TP-Link.
מה זה אומר עבורכם
- עדכנו הכול: קושחה של הבקרים, השערים, המתגים ונקודות הגישה, וגם את אפליקציות Omada בטלפונים. הורידו מפורטל ההורדות של TP-Link לפי הדגם.
- אל תחשפו בקר לאינטרנט: ודאו שהבקר לא נגיש מרשת ציבורית. לפי SecurityWeek, בקרי Omada לא אמורים להיחשף.
- החליפו סיסמאות: עדכנו את סיסמאות האתר ואת פרטי הכניסה למזהה TP-Link, והפעילו אימות דו-שלבי. בזמן הקמה, אל תשתמשו באותה סיסמה בכמה מכשירים.
- הפרידו את הרשת: בודדו את תעבורת ה-ZTP משאר הרשת. Forescout ממליצה גם על 802.1X ועל בידוד לקוחות אלחוטיים.
- עקבו אחרי הצטרפויות חריגות: מכשיר חדש שהתחבר לבקר בלי שציפיתם לו הוא סימן אזהרה. אם יש חשד לפריצה, החליפו גם מפתחות VPN וסיסמאות של הבקר.
מה הלאה
TP-Link לא פרסמה לוח זמנים לחולשות המבניות. עד אז, הגנה בשכבות היא התשובה: בידוד, ניטור ועדכונים תכופים. מי שמנהל רשת עם הרבה נקודות גישה צריך לבדוק את הציוד הזה לפי הדגמים.
מקורות והרחבה
- New TP-Link router vulnerabilities exploiting zero-touch provisioningForescout
- Zero-Touch Provisioning Is a Fleet-Scale Attack VectorForescout Research
- TP-Link patches Omada ZTP flaws allowing hackers to breach networksBleepingComputer
- TP-Link Omada ZTP Vulnerabilities Chain Into Full Network TakeoverSecurityWeek
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
