В маршрутизаторах TP-Link знайшли критичну вразливість, що дозволяє обійти систему автентифікації

Компанія TP-Link усунула кілька вразливостей у маршрутизаторах серії Archer NX, зокрема критичну вразливість, яка могла дозволити зловмисникам обійти аутентифікацію та завантажити нове програмне забезпечення.

Ця вразливість, що має ідентифікатор CVE-2025-15517, стосується моделей бездротових маршрутизаторів Archer NX200, NX210, NX500 та NX600 і пов’язана з відсутністю перевірки аутентифікації, яку зловмисники можуть використати, не маючи спеціальних прав. Зловмисник може виконувати привілейовані дії HTTP без аутентифікації, включаючи завантаження прошивки та операції з конфігурацією.

TP-Link також видалила жорстко запрограмований криптографічний ключ (CVE-2025-15605) у механізмі конфігурації, що дозволяв аутентифікованим зловмисникам розшифровувати файли конфігурації, модифікувати їх та повторно шифрувати.

Крім того, було усунуто дві уразливості введення команд (CVE-2025-15518 та CVE-2025-15519), які дозволяють зловмисникам з адміністративними привілеями виконувати довільні команди.

Компанія «наполегливо» рекомендувала клієнтам завантажити та встановити останню версію прошивки, щоб запобігти потенційним атакам, що використовують ці вразливості.

Зазначимо, що це не перший випадок, коли компанія була вимушена швидко випускати апдейти для системи безпеки пристроїв. У вересні TP-Link терміново випустила виправлення для уразливості «нульового дня», що впливала на декілька моделей маршрутизаторів. Цей баг безпеки дозволяв зловмисникам перехоплювати або маніпулювати незашифрованим трафіком, перенаправляти DNS-запити на шкідливі сервери та вводити шкідливі дані у веб-сесії.

Раніше ми писали, що індустрія активно обговорює своє бачення майбутнього стандарту Wi-Fi 9.