Рекомендация по безопасности: некорректная аутентификация в ряде Wi-Fi-ретрансляторов TP-Link (CVE-2026-109506)

Советы по безопасности

Последнее обновление:октября 15, 2026

Описание уязвимости и ее последствий:

CVE-2026-109506: Некорректная аутентификация в ряде Wi-Fi-ретрансляторов TP-Link

В ряде Wi-Fi-ретрансляторов (усилителей сигнала) TP-Link в процессе входа в веб-интерфейс управления по протоколу HTTP используется специфическое обратимое преобразование данных, основанное на операции XOR и словаре. Злоумышленник, находящийся в той же локальной сети и не прошедший аутентификацию, может перехватить сетевой трафик, связанный с входом легитимного администратора. На основе этих данных он может вычислить альтернативные учетные данные, которые приведут к успешному прохождению аутентификации, и использовать их для получения доступа к веб-интерфейсу управления устройством с правами администратора. Для осуществления атаки необходимо, чтобы при входе в систему управления использовался протокол HTTP, а злоумышленник имел возможность перехватить ключ сессии, словарь и значение учетных данных, связанные с легитимным сеансом администратора.

Успешная эксплуатация уязвимости может позволить неавторизованному смежному злоумышленнику получить права администратора на затронутом устройстве и изменить доступные параметры конфигурации.

Оценка по шкале CVSS v4.0: 5.9 / Средний уровень (Medium)

CVSS:4.0/AV:A/AC:H/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Затронутые продукты/версии и исправления:

Затронутые продукты	Аппаратная версия	Исправленная прошивка
RE190	V5	V5_260904
RE200	V5	V5_260904
RE205	V4	V4_260904
RE215	V1	V1_260904
RE220	V3	V3_260904
RE230	V2	V2_260904
RE300	V2	V2_260904
RE305	V4	V4_260904
RE315	V1	V1_260904
RE330	V1	V1_260904
RE335	V1	V1_260904
RE365	V2	V2_260904
RE365	V3	V3_260904
RE750C	V4	V4_260904
RE450	V4	V4_260915
RE550	V1	V1_260915

Рекомендации:

Мы настоятельно рекомендуем пользователям затронутых устройств выполнить следующие действия:

Обновить затронутые устройства до последней версии прошивки, в которой была устранена уязвимость:

EN: Центр загрузок | TP-Link

US: Центр загрузок | TP-Link

Отказ от ответственности:

Данное информационное сообщение предоставляется исключительно в ознакомительных целях и может быть изменено без предварительного уведомления. Информация предоставляется по принципу «как есть», без каких-либо гарантий. Компания TP-Link рекомендует клиентам своевременно устанавливать доступные обновления прошивки или применять задокументированные обходные пути решения проблемы, указанные в данном сообщении. Устройства и системы, на которых не были установлены обновления или не применены меры защиты, могут оставаться уязвимыми. TP-Link не несет ответственности за любые убытки или ущерб, возникшие в результате невыполнения рекомендаций по обновлению.