TP-Link Kasa cihazlarında yerel ağdan sömürülebilen kimlik doğrulama açığı

TP-Link, Kasa akıllı priz, anahtar, dimmer ve ampul ürünlerini etkileyen bir kimlik doğrulama açığını duyurdu. CVE-2026-108473 olarak kayıtlı sorun, cihazların yerel yönetim protokolünde yeterli kimlik doğrulama ve yetkilendirme yapılmamasından kaynaklanıyor. Aynı yerel ağda bulunan bir saldırgan, kullanıcı adı veya parola gerekmeden cihaza yönetim komutları gönderebiliyor.

Cihaz kontrolü ve hesap bilgileri risk altında

TP-Link’in duyurusuna göre saldırı başarılı olduğunda cihazın durumu ve yönetim ayarları izinsiz değiştirilebiliyor, kullanıcının cihaz üzerindeki kontrolü bozulabiliyor. Belirli kullanım koşullarında hesap bilgileri de açığa çıkabiliyor ve bu durum cihazın bağlı olduğu bulut hesabının ele geçirilmesine kadar gidebiliyor. Açığın CVSS v4.0 puanı 8.7 ve vektörü komşu ağ üzerinden sömürüyü işaret ediyor (AV:A); saldırı için kullanıcı etkileşimi ya da özel bir yetki gerekmiyor. NVD ve TP-Link kayıtlarında açığın aktif olarak sömürüldüğüne dair bir bilgi yer almıyor.

Hangi ürünler etkileniyor

Duyurudaki liste oldukça geniş. Priz ve anahtar tarafında HS103, HS200, HS210, HS220, HS300, KP115, KP200, KP303, KP400, KP401, KP405, KS200, KS220, KS230 KIT ile EP10, EP40, EP40A ve ES20M/KS220M modelleri var. Ampul ve şerit grubunda KL110, KL125, KL135 ile KL420L5 yer alıyor. Açık, birden fazla donanım sürümünü kapsıyor; TP-Link her model için hangi donanım sürümünün etkilendiğini ve düzeltmenin bulunduğu firmware numarasını duyuru tablosunda tek tek listeliyor. Örneğin HS103 V5 için düzeltilmiş sürüm 1.1.3 Build 250908, HS300 V2 için 1.1.2 Build 241220, KL125 V4 için 1.1.1 Build 260710 olarak veriliyor.

Ne yapmalısınız

TP-Link, etkilenen cihazların firmware’inin güncellenmesini öneriyor ve bunun için indirme merkezindeki yönergeleri izlemeyi söylüyor. Güncelleme, ilgili model ve donanım sürümü seçilerek yapılıyor; duyuru her model için hedeflenen firmware numarasını ayrı ayrı veriyor. Saldırı yerel ağdan geldiği için cihazların misafir ağlardan ve ortak kullanılan Wi-Fi ağlarından ayrı tutulması, güncelleme yapılana kadar riski azaltan pratik bir önlem.

Kaynak: TP-Link Güvenlik Duyurusu · NVD