Router TP-Link compromessi da vulnerabilità 0-day: milioni di dispositivi a rischio

Momento no per TP-Link, che ha confermato l'esistenza di una nuova vulnerabilità zero-day che interessa diversi modelli di router e, nel frattempo, la CISA (Cybersecurity and Infrastructure Security Agency) ha aggiunto al proprio catalogo due nuovi difetti del produttore già sfruttati attivamente da cybercriminali. Ma niente paura, TP-Link ha dichiarato che una patch è già disponibile per i mercati europei.

La falla di sicurezza è stata identificata dal ricercatore indipendente Mehrun di ByteRay, che aveva già segnalato il problema al produttore l'11 maggio 2024. La vulnerabilità, per la quale non è ancora stato assegnato un CVE-ID, consiste in uno stack-based buffer overflow nell'implementazione CWMP (CPE WAN Management Protocol) presente su un numero ancora imprecisato di router TP-Link. Il difetto risiede specificamente in una funzione che gestisce i messaggi SOAP SetParameterValues e deriva dalla mancanza di controlli sui limiti nelle chiamate 'strncpy', consentendo potenzialmente l'esecuzione di codice remoto quando la dimensione del buffer dello stack supera i 3072 byte.

TP-Link al lavoro su tre falle 0-day scoperte sui propri router

Per sfruttare la vulnerabilità, un attaccante dovrebbe reindirizzare i dispositivi vulnerabili verso un server CWMP (CPE WAN Management Protocol) malevolo e successivamente inviare un carico SOAP di dimensioni eccessive per scatenare l'overflow del buffer. Tale approccio risulterebbe realizzabile sfruttando falle presenti in firmware obsoleti o utilizzando le credenziali predefinite se non sono state modificate dagli utenti. Le verifiche condotte dal ricercatore hanno confermato che fra i modelli coinvolti ci sono Archer AX10 e Archer AX1500, i quali utilizzano binari CWMP vulnerabili. Entrambi rappresentano modelli estremamente popolari, attualmente disponibili in diversi mercati globali.

Mehrun ha inoltre identificato potenziali vulnerabilità in EX141, Archer VR400, TD-W9970 e probabilmente numerosi altri modelli del portfolio TP-Link. Una volta compromesso tramite RCE, il router può essere istruito per reindirizzare le query DNS verso server malevoli, intercettare silenziosamente o manipolare il traffico non crittografato e iniettare payload dannosi nelle sessioni web. TP-Link ha dichiarato di aver già sviluppato una patch per i modelli europei interessati, mentre sono in corso i lavori per adattare e accelerare gli aggiornamenti per le versioni del firmware globali. Nel frattempo, il team tecnico sta esaminando in dettaglio i risultati per confermare i criteri di esposizione dei dispositivi e le condizioni di implementazione.

Fino al rilascio delle correzioni ufficiali, gli utenti dovrebbero modificare immediatamente le password dell'amministratore predefinite, disabilitare CWMP se non necessario, applicare l'ultimo aggiornamento del firmware disponibile per il proprio dispositivo e, quando possibile, segmentare il router dalle reti critiche.

Nel frattempo, la CISA ha recentemente aggiunto CVE-2023-50224 e CVE-2025-9377 al catalogo delle vulnerabilità già sfruttat dalla botnet Quad7 per compromettere router TP-Link: CVE-2023-50224 rappresenta un difetto di bypass dell'autenticazione, mentre CVE-2025-9377 costituisce una falla di iniezione di comandi. La concatenazione di questi due exploit consente agli attori delle minacce di ottenere l'esecuzione di codice remoto su dispositivi TP-Link vulnerabili. La botnet Quad7 sembra che sia capace di sfruttare queste vulnerabilità dal 2023, per installare malware personalizzati sui router trasformandoli in proxy e relè di traffico. Nel corso del 2024, Microsoft ha osservato l'utilizzo della botnet per eseguire attacchi spray di password sui servizi cloud e su Microsoft 365, con l'obiettivo primario di sottrarre credenziali di accesso.