Por qué importa

El ZTP permite a los administradores configurar routers, switches y puntos de acceso sin tocarlos físicamente. Para automatizar esa confianza entre un equipo nuevo y el controlador, TP‑Link usó atajos inseguros:

  • Claves criptográficas y certificados prefijados (hardcodeados)
  • Credenciales por defecto
  • Números de serie predecibles como “identidad”
  • Aleatoriedad débil en claves de sesión

Estos atajos permiten a un atacante suplantar dispositivos, interceptar comunicaciones cifradas y obtener acceso administrativo.

El panorama general

Las 15 vulnerabilidades se agrupan en cuatro tipos de impacto: ejecución de código del lado del cliente, divulgación de información, secuestro y suplantación de dispositivos, y compromiso de comunicaciones cifradas. Once de ellas recibieron identificadores CVE. TP‑Link no asignó CVE a las cuatro restantes por considerarlas de baja gravedad.

Entre líneas

Los investigadores demostraron que un atacante externo sin acceso a la red puede explotar una condición de carrera durante la adopción de dispositivos en la nube. Así intercepta credenciales y datos de configuración, obtiene control de la cuenta cloud del administrador y logra un punto de apoyo dentro de la red interna. Otros escenarios requieren que el atacante ya esté en la red local o que un administrador apruebe manualmente un dispositivo falsificado.

Qué sigue

TP‑Link publicó actualizaciones de firmware para corregir los fallos. Los administradores deben parchear de inmediato, especialmente aquellos cuyos controladores Omada están accesibles desde internet. La combinación de estos errores con dos vulnerabilidades de inyección de comandos ya conocidas (CVE‑2025‑7850 y CVE‑2025‑7851) hace posible ataques concretos que comprometen toda la cadena de confianza.