概要
セキュリティ企業Forescoutの研究チームVedere Labsは、Black Hat USA 2026において、TP-Link Omada製品群のゼロタッチプロビジョニング(ZTP)機構に存在する15件の脆弱性を公表した。ZTPはコントローラーが新規デバイスを自動的に発見・認証・設定する仕組みだが、その実装には暗号鍵のハードコーディングや証明書検証の不備、認証情報の不安全な送信など複数の問題が存在する。これらを連鎖させることで、攻撃者は管理下にあるデバイス群全体を乗っ取り、通信を傍受する中間者攻撃や、ルート権限でのリモートコード実行、ネットワーク全体の侵害に至ることが実証された。研究者らはインターネットに露出したOmadaコントローラーを1,800台以上発見しており、OmadaおよびOmada Guardアプリのダウンロード数は110万件超、TP-Link関連アプリ全体のアクティブアカウントは300万〜700万件に上るとされ、影響範囲は広い。
技術的な詳細
15件のうち11件にCVE識別子が割り当てられており、代表的なものとして、ZTPプロトコルv2で使われるTLS証明書と秘密鍵がハードコードされている問題(CVE-2025-15628)、プロトコルv1における秘密鍵のハードコーディング(CVE-2025-15627)、クラウド経由でデバイスを導入する際に発生する競合状態(CVE-2025-15630)、コントローラーのWebインターフェースに存在するクロスサイトスクリプティング(CVE-2025-9289)などが挙げられる。残りの4件は深刻度が低いためCVE番号は割り当てられていない。これらの脆弱性は単体でも問題だが、既知のリモートコード実行の脆弱性(CVE-2025-7850、CVE-2025-7851)と組み合わせることで、攻撃者が複数の攻撃シナリオを構築できることが実証されている。予測可能なシリアル番号の生成や、パスワードハッシュ保護の弱さといった問題も報告されている。
影響を受ける製品と対応状況
影響範囲はOmadaのクラウド・ソフトウェア・ハードウェアコントローラー、ゲートウェイ、スイッチ、アクセスポイント、OLTプラットフォームに加え、OmadaおよびFestaブランドのVPNルーター、VIGI IPカメラ、Tapo・Kasa・Deco・Tether・Omada GuardといったTP-Link製モバイルアプリにまで及ぶ。TP-Linkは指摘を受けて一部の脆弱性にはすでにパッチを提供済みだが、より構造的な設計上の弱点への対応は2026年後半まで完了しない見通しであることも報じられている。研究者らは、利用者に対して提供済みの更新プログラムを速やかに適用し、強固な認証方式や多要素認証を有効化すること、また侵害の可能性があるVPN認証情報のローテーションを行うことを推奨している。企業ネットワークで広く使われるOmada製品群の性質上、対応の遅れは長期的なリスクとして残ることになりそうだ。