Домашняя камера, которая должна следить за квартирой, сама может превратиться в средство наблюдения. В камерах TP-Link Tapo обнаружили уязвимость, позволяющую без пароля получить административный доступ к устройству, а вместе с ним потенциально открыть прямую трансляцию и сохранённые записи. Для атаки злоумышленнику нужен сетевой доступ к камере, поэтому речь не идёт о возможности подключиться к любому устройству через интернет.
Проблема получила идентификатор CVE-2026-15315 и затрагивает TP-Link Tapo C200 аппаратной версии V5, а также Tapo C120 V1. TP-Link оценила опасность уязвимости в 8,7 балла из 10 и выпустила исправления для обеих моделей.
Исследователи OPSWAT нашли брешь при изучении прошивки Tapo C200. Камера предоставляет локальный интерфейс управления через HTTPS на порту 443 и использует механизм «запрос-ответ» для проверки пароля. При нормальной работе камера выдаёт клиенту специальный запрос, а клиент должен вычислить правильный ответ с использованием пароля владельца.
Ошибка нарушает логику проверки. Исследователи обнаружили альтернативный путь аутентификации, при котором значение, ранее выданное самой камерой, можно повторно отправить в следующем запросе. Такая атака повторного воспроизведения позволяет пройти проверку без знания пароля и получить действующий административный сеанс.
Для эксплуатации не требуется существующая авторизованная сессия или действие владельца. По результатам исследования, достаточно небольшого числа запросов к локальному интерфейсу камеры. После успешного входа атакующий получает функции, доступные администратору, включая изменение конфигурации и другие привилегированные операции.
Самый чувствительный риск связан с приватностью. OPSWAT предупреждает, что административный доступ может открыть функции камеры, связанные с прямой видеотрансляцией и сохранёнными записями. В результате человек с доступом к сети потенциально способен наблюдать за происходящим в квартире или просматривать уже записанное видео.
Уязвимость особенно опасна для камер, установленных в спальнях, детских и других помещениях, где видеопоток содержит чувствительную информацию. При этом подтверждений массовой эксплуатации CVE-2026-15315 исследователи не приводят. Сам факт наличия уязвимой камеры также не означает, что посторонние уже получили доступ к видео.
В Tapo C200 V5 исследователи нашли ещё одну проблему, CVE-2026-15316 с оценкой 7,1 балла. Камера недостаточно проверяет размер зашифрованных данных с параметрами Wi-Fi во время настройки устройства. Неавторизованный пользователь с сетевым доступом может передать слишком большой блок данных и вызвать сбой HTTPS-службы. Камера временно теряет возможность нормального управления и мониторинга до восстановления сервиса.
Исследователи сообщили TP-Link о проблемах 16 апреля 2026 года. Компания подтвердила результаты 10 июля, а 18 августа выпустила исправленную прошивку для Tapo C200. Для C200 V5 уязвимыми считаются версии ниже V5_1.4.6 Build 260709 Rel.27675n. Для Tapo C120 V1 необходимо установить как минимум прошивку 1.9.3 Build 260521.
OPSWAT также обнаружила в Tapo C200 дополнительные проблемы, подробности которых пока не раскрываются. Среди находок исследователи упоминают критическую уязвимость, способную привести к полному захвату камеры и позволить использовать скомпрометированное устройство как точку входа в локальную сеть. Информация остаётся в процессе согласованного раскрытия с TP-Link, поэтому технические детали и условия эксплуатации пока неизвестны.
Владельцам Tapo C200 V5 и C120 V1 стоит проверить версию прошивки и установить последнее обновление. Дополнительную защиту даёт ограничение доступа к локальному интерфейсу камеры и сегментация сети, при которой камеры и другие устройства умного дома работают отдельно от компьютеров, сетевых хранилищ и другой чувствительной техники.
