Уязвимость внедрения команд в Deco BE11000 и Deco M9 Plus (CVE-2026-17176)

Компания TP-Link Systems Inc. сообщила об уязвимости внедрения команд операционной системы в модуле TDDP (TP-Link Device Debug Protocol) своих устройств линейки Deco. Проблеме присвоен идентификатор CVE-2026-17176, базовая оценка по CVSS — 7.7, уровень критичности HIGH.

Подробности

Уязвимости подвержены следующие продукты:

• TP-Link Systems Inc. Deco BE11000 V2;
• TP-Link Systems Inc. Deco M9 Plus V2.

Тип уязвимости — внедрение команд ОС (OS Command Injection) в модуле TDDP. Причина в недостаточной проверке входных данных: специально сформированный UDP-пакет позволяет атакующему из смежной сети выполнить на устройстве произвольные команды с привилегиями root. Уязвимость не требует аутентификации, но предполагает, что злоумышленник уже находится в пределах досягаемости сетевого интерфейса устройства (смежная сеть, вектор AV:A). Оценка CVSS 7.7 отражает высокую опасность при ограниченных условиях эксплуатации. Успешная эксплуатация приводит к полной компрометации устройства: несанкционированному выполнению команд, изменению настроек, а также потере конфиденциальности, целостности и доступности. Получив root-доступ, атакующий может перехватывать трафик, перенаправлять DNS-запросы, устанавливать вредоносное ПО и использовать устройство как точку входа во внутреннюю сеть.

Что делать

• Проверьте наличие обновлений прошивки для Deco BE11000 V2 и Deco M9 Plus V2 на официальном сайте TP-Link и установите актуальную версию, устраняющую уязвимость.
• Если обновление недоступно, ограничьте доступ к интерфейсу TDDP (UDP) из недоверенных сегментов сети средствами межсетевого экрана.
• Сегментируйте сети так, чтобы к устройству не имели доступа посторонние узлы смежной сети — включая гостевые Wi-Fi-подключения.
• Отключите удалённое администрирование и неиспользуемые функции отладки, если они не требуются.
• Отслеживайте аномальную активность устройства: неожиданные изменения настроек, DNS, перенаправление трафика.
• После компрометации недостаточно обновить прошивку — рекомендуется сбросить устройство к заводским настройкам и сменить учётные данные.

Итог: CVE-2026-17176 — серьёзная уязвимость с оценкой 7.7, позволяющая атакующему из смежной сети получить root-доступ к роутерам Deco BE11000 V2 и Deco M9 Plus V2. Основная мера защиты — своевременное обновление прошивки и ограничение сетевого доступа к устройству.

Источник: CVE Project (cvelistV5)