CVE-2026-84682: инъекция команд в TDDPv2 на TP-Link Archer AX90
В сервисе TDDPv2 роутера TP-Link Archer AX90 V1 обнаружена уязвимость инъекции команд (CVE-2026-84682) с оценкой CVSS 7.7 (HIGH). Неаутентифицированный атакующий в смежной сети может выполнить произвольные команды ОС с правами root во время загрузки устройства. Успешная эксплуатация приводит к полной компрометации роутера.
Подробности
Уязвимость затрагивает TP-Link Systems Inc. Archer AX90 v1. Проблема локализована в сервисе TDDPv2, исполняемый файл которого расположен по пути /usr/bin/tddp. TDDP (TP-Link Device Debug Protocol) — служебный протокол, используемый для отладки и диагностики устройства. Причиной уязвимости является недостаточная проверка входных данных в обработчике команды setProductVer. Неаутентифицированный атакующий, находящийся в смежной сети (adjacent network), может передать специально сформированный запрос, приводящий к инъекции команд операционной системы. Поскольку обработчик выполняется в привилегированном контексте, внедрённые команды исполняются с правами root. Отдельно стоит отметить вектор эксплуатации: согласно описанию, выполнение произвольных команд возможно во время загрузки устройства. Это расширяет поверхность атаки и делает проблему особенно опасной для устройств, доступных из смежных сегментов сети. Успешная эксплуатация означает полную компрометацию устройства: атакующий получает возможность выполнять произвольные команды с привилегиями root, что позволяет перехватывать трафик, изменять конфигурацию, разворачивать постоянное присутствие в прошивке и использовать роутер как плацдарм для атак на внутреннюю сеть.Что делать
Основная рекомендация — проверить наличие обновления прошивки для Archer AX90 V1 на официальном сайте TP-Link и установить его сразу после публикации. Поскольку на момент описания CVE исправленная версия не указана, следует регулярно отслеживать официальные уведомления производителя. До выхода патча целесообразно применить компенсирующие меры: — ограничить сетевой доступ к сервису TDDPv2, заблокировав соответствующие порты и трафик на межсетевом экране; — изолировать устройство в отдельном сегменте сети и ограничить круг хостов, способных с ним взаимодействовать; — отключить удалённое администрирование и функции отладки, если они не используются; — обеспечить мониторинг подозрительной активности в смежных сетях.Итог
CVE-2026-84682 — серьёзная уязвимость уровня HIGH, позволяющая неаутентифицированному атакующему из смежной сети выполнить команды ОС с правами root на TP-Link Archer AX90 V1. Основной мерой защиты является своевременное обновление прошивки; до его выхода рекомендуется сегментация сети и ограничение доступа к TDDPv2.Источник: CVE Project (cvelistV5)