Епоха Інтернету речей принесла в наші оселі комфорт, проте водночас створила системні ризики для приватності. Розумні камери, покликані оберігати наш простір, нерідко стають найслабшою ланкою в ланцюгу безпеки через фундаментальні помилки проєктування. Нещодавні інциденти з пристроями TP-Link Kasa оголюють хронічну проблему індустрії — надмірну довіру до статичних секретів та незахищених протоколів виявлення. Ці вразливості наочно демонструють, як один жорстко закодований ключ може поставити під удар конфіденційність тисяч користувачів.
Безпека сучасних IoT-пристроїв часто приноситься в жертву зручності розгортання, і випадок із камерами TP-Link Kasa моделей EC70 v4 та EC71 v4 став хрестоматийним прикладом такого підходу. У цих пристроях було виявлено дві критичні проблеми, які дозволяють зловмиснику, що перебуває в одній локальній мережі з камерою, отримати доступ до адміністративних даних і точних координат пристрою.
Найбільш тривожною є вразливість CVE-2026-9770. Її корінь криється у використанні жорстко закодованого (hardcoded) криптографічного ключа, інтегрованого безпосередньо в образ системи. В ідеальному світі безпеки кожен екземпляр пристрою повинен мати унікальний набір секретів, проте тут виробник застосував єдиний ключ для всієї лінійки. Це перетворює індивідуальну атаку на системну проблему: якщо ключ скомпрометовано один раз, він стає універсальним ключем до будь-яких незахищених камер цієї серії.
Такий підхід повністю нівелює конфіденційність обміну даними між пристроєм та його вебінтерфейсом керування. Зловмисник може реалізувати атаку типу «людина посередині» (Man-in-the-Middle), перехоплюючи трафік і вилучаючи облікові дані адміністратора. Згідно зі стандартом CVSS v4.0, цій проблемі присвоєно високий бал 8,6. Низька складність експлуатації у поєднанні з відсутністю потреби в спеціальних привілеях робить цю прогалину надзвичайно небезпечною для будь-якого користувача, чия локальна мережа була скомпрометована або відкрита для сторонніх.
Паралельно з криптографічним провалом було виявлено другу проблему — CVE-2026-13230, що стосується механізму локального виявлення. Ця функція є критично важливою для первинного сполучення камери з мережею та мобільним застосунком, оскільки дозволяє пристроям «бачити» один одного без попередньої автентифікації. Однак саме ця відкритість стала вектором атаки.
Надсилаючи спеціально сформовані запити на виявлення, хакер може змусити камеру розкрити дані про свою геолокацію. Попри те що ця вразливість отримала помірну оцінку 5,3 за шкалою CVSS і не дозволяє напряму керувати пристроєм або змінювати його налаштування, ризик для приватності залишається значним. Розкриття точного місцезнаходження камери — особливо якщо вона встановлена зовні будівлі або в стратегічно важливому місці підприємства — надає зловмиснику цінну розвідувальну інформацію про фізичне розташування об'єкта.
Рішенням цієї ситуації став випуск оновлень мікропрограми. Для моделі Kasa EC70 v4 виправленням є версія 2.4.0 Build 20260520 rel.4191, а для Kasa EC71 v4 — версія 2.4.1 Build 20260621 rel.76536. Окрім оновлення самого «заліза», критично важливим є оновлення супутнього мобільного застосунку, щоб забезпечити коректну сумісність із новими збірками безпеки.
Цей інцидент вкотре підкреслює необхідність переходу індустрії IoT до моделі Zero Trust та відмови від статичних секретів на користь динамічного керування ключами. Доки виробники продовжують використовувати спільні паролі та ключі для цілих серій пристроїв, безпека «розумного дому» залишатиметься ілюзією, що залежить від того, наскільки надійно захищений периметр локальної мережі.
Тріумф мобільної оптики нового покоління
