Mae TP-Link yn wynebu methiannau difrifol mewn llwybryddion menter a phwysau rheoleiddiol cynyddol

Llwybryddion proffesiynol o Ystodau VPN Omada a Festa TP-Link Maent wedi dod i gysylltiad â dau wendid difrifol a allai ganiatáu i ymosodwr gymryd rheolaeth o'r ddyfais. Daw'r rhybudd mewn adroddiad technegol gan Forescout Research – Vedere Labs, sy'n annog rhoi'r atebion angenrheidiol ar waith ar unwaith. diweddariadau cadarnwedd eisoes wedi'u rhyddhau gan TP-Link.

Daw'r canfyddiad hwn ar adeg wleidyddol llawn tensiwn: mae sawl asiantaeth ffederal yn yr Unol Daleithiau yn cefnogi symudiad posibl gan yr Adran Fasnach i cyfyngu ar werthiannau cynhyrchion TP-Link yn y dyfodol am resymau diogelwch cenedlaethol. Mae'r cwmni, o'i ran, yn gwadu unrhyw gysylltiadau gweithredol â Tsieina ac yn honni bod ei is-gwmnïau yn yr Unol Daleithiau... Nid ydynt yn ddarostyngedig i ganllawiau cudd-wybodaeth o'r wlad Asiaidd.

Beth yn union sydd wedi'i ddarganfod

La bregusrwydd cyntaf, a nodwyd fel CVE-2025-7850, Mae'n caniatáu chwistrellu gorchmynion system weithredu oherwydd glanweithio annigonol o fewnbwn defnyddwyr.Gyda sgôr difrifoldeb o 9,3, mewn rhai senarios Gellid ei gamddefnyddio hyd yn oed heb gymwysterau..

El ail ddyfarniad, CVE-2025-7851 (sgôr 8,7), Mae'n datgelu swyddogaeth dadfygio gweddilliol sy'n galluogi mynediad gwraidd trwy SSHYn ymarferol, y llwybr cudd hwnnw gallai roi rheolaeth lawn dros y llwybrydd i ymosodwr sy'n ei gamddefnyddio'n llwyddiannus.

Yn ôl Forescout, mae gwendidau'n effeithio ar Offer TP-Link Omada a llwybryddion VPN FestaMae'r dyfeisiau hyn yn gyffredin mewn busnesau bach a chanolig, swyddfeydd dosbarthedig, a lleoliadau rhwydweithiau corfforaethol. Yn Sbaen a'r UE, fe'u defnyddir yn aml ar gyfer mynediad o bell a segmentu safleFelly, mae'r effaith bosibl yn ymestyn i rwydweithiau busnes ac amgylcheddau critigol.

Risg ymarferol: yr hyn sy'n hysbys a'r clytiau sydd ar gael ar hyn o bryd

Mae'r ymchwilwyr yn nodi bod Nid oes tystiolaeth gyhoeddus o gamfanteisio gweithredol o'r ddau ddiffyg hyn ar adeg yr adroddiad. Fodd bynnag, mae offer TP-Link wedi cael ei dargedu yn y gorffennol gan botnets ar raddfa fawr, fel Quad7, a chan grwpiau sy'n gysylltiedig â Tsieina sydd wedi cynnal ymosodiadau chwistrellu cyfrinair yn erbyn cyfrifon Microsoft 365, ymhlith ymgyrchoedd eraill.

Mae Forescout a TP-Link yn argymell diweddaru ar unwaith i'r fersiynau cadarnwedd cyhoeddedig i drwsio'r bygiau.Ar ôl y diweddariad, mae TP-Link yn eich annog i newid eich cyfrineiriau gweinyddwr. Yn ogystal, mae'n ddoeth gweithredu mesurau cyfyngu i lleihau arwyneb ymosod:

• Analluogi mynediad o bell i'r weinyddiaeth os nad yw'n hanfodol a ei gyfyngu gan restrau rheoli mynediad (ACLs) neu VPN.
• Cylchdroi manylion mewngofnodi ac allweddi SSH, a defnyddwyr wedi'u galluogi i adolygu ar y ddyfais.
• Gwahanu traffig rheoli i mewn i VLAN pwrpasol a Cyfyngu SSH i gyfeiriadau IP dibynadwy yn unig.
• Monitro logiau system a actifadu rhybuddion ymyrraeth ar y perimedr.

Yng nghyd-destun Ewropeaidd, mae'r camau gweithredu hyn yn cyd-fynd â gofynion rheoli clytiau a rheoli mynediad sy'n cynnwys fframweithiau fel NIS2 a'r arferion gorau a argymhellir gan sefydliadau fel INCIBE neu CCN-CERT.

Er, yn ystod ei ymchwiliad, Mae Forescout yn honni eu bod wedi dod o hyd i ddiffygion ychwanegol mewn cydweithrediad â labordai TP-LinkRhai gyda photensial i'w hecsbloetio o bell. Nid yw manylion technegol wedi'u datgelu, ond Disgwylir i TP-Link ryddhau atebion ar gyfer y problemau hyn. drwy gydol chwarter cyntaf 2026.

Pwysau rheoleiddiol yn yr Unol Daleithiau a'i sgil-effeithiau yn Ewrop

Mae ffynonellau a ddyfynnwyd gan y cyfryngau yn yr Unol Daleithiau yn honni bod a proses ryngasiantaethol, sy'n cynnwys Cyfiawnder, Diogelwch Cenedlaethol ac AmddiffynYr haf hwn, astudiodd gynllun i gwahardd gwerthiannau newydd o TP-Link yn y wladMae'r pryderon yn canolbwyntio ar y potensial dylanwadau cyfreithiol Beijing a'r posibilrwydd o ddiweddariadau maleisus. Mae TP-Link yn gwrthod yr amheuon hyn ac yn pwysleisio nad oes unrhyw awdurdod yn yr Unol Daleithiau na'r Tŷ Gwyn wedi gwneud penderfyniad ffurfiol ar y mater.

Er bod y ddadl yn bennaf yn ddomestig yn yr Unol Daleithiau, Gellid teimlo ei effeithiau yn EwropO feini prawf caffael cyhoeddus ac asesiadau risg cadwyn gyflenwi i bolisïau homologeiddio a chefnogi. Ar gyfer sefydliadau sydd â phresenoldeb trawsatlantig, Mae'n ddoeth cynnal a ystum gwyliadwriaeth y polisi amnewid wedi'i gynllunio os oes angen.

Beth ddylai sefydliadau yn Sbaen a'r UE ei wneud?

Y tu hwnt i roi clytiau a chaledu pwyntiau mynediad, mae'n ddoeth perfformio a rhestr eiddo gyflawn o asedau rhwydwaith (gan gynnwys llwybryddion a phyrth), gwirio fersiynau cadarnwedd, a dogfennu eithriadau dros dro. Mewn busnesau bach a chanolig sydd â llai o adnoddau, dibynnu ar eu Darparwr TG neu MSP i ddilysu ffurfweddiadau a segmentu diogel.

• Adolygiad o amlygiad i'r rhyngrwyd gyda sganiau o gwasanaethau agored.
• Polisi wrth gefn y ffurfweddiad llwybrydd a chynllun gwrthdroi.
• Log newid a profion rheoledig ar ôl pob diweddariad.

Gyda diffygion eisoes wedi'u nodi, clytiau ar gael, a dadl reoleiddio yn ennill tyniant, Y flaenoriaeth yw cywiro, cryfhau a monitro yn hytrach na chynhyrfu.Mae diweddaru cadarnwedd, newid cyfrineiriau, cau mynediad diangen, a monitro gweithgaredd annormal yn gamau sydd, pan gymhwysol heddiw, lleihau'n sylweddol y risg mewn rhwydweithiau busnes a chartref uwch.