Komunikat dotyczący podatności Wstrzykiwania komend w OpenVPN na wielu routerach TP-Link z serii Archer (CVE-2026-9151)

Opis podatności bezpieczeństwa i jej wpływ:

CVE-2026-9151

Podatność wstrzykiwania komend systemu operacyjnego występuje w module VPN routerów TP-Link Archer AX12 v1, AX17 v1, AX18 v1 i AX1300 v1.6. Ta podatność umożliwia dowolnej uwierzytelnionej osobie atakującej na wykonywanie dowolnych koment na urządzeniu poprzez importowanie specjalnie przygotowanego pliku konfiguracyjnego klienta VPN. Problem wynika z nieprawidłowego filtrowania znaków specjalnych.

Pomyślne wykorzystanie luki może umożliwić osobie atakującej przejęcie całkowitej kontroli nad podatnym urządzeniem, potencjalnie skutkując naruszeniem poufności konfiguracji, bezpieczeństwa sieci i dostępności usługi.

CVSS v4.0 Wynik: 8.5 / Wysoki

CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L

Lista produktów i wersji oprogramowań związanych z opisaną podatnością:

Uwaga: Archer AX12, AX17 i AX18 nie są sprzedawane w Stanach Zjednoczonych.

Zalecenia:

Stanowczo zalecamy użytkownikom wspomnianych urządzeń podjęcie następujących działań:

1. Zaktualizuj oprogramowanie podatnych urządzeń do najnowszej wersji, aby naprawić podatność:

Dla produktów z Europy: Centrum pobierania Archer AX12 | TP-Link Polska

Centrum pobierania Archer AX17 | TP-Link Polska

Centrum pobierania Archer AX18 | TP-Link Global

Dla produktów z USA: Centrum pobierania Archer AX1300 | TP-Link USA

Zastrzeżenia:

Ten komunikat jest wydany wyłącznie w celach informacyjnych i może ulec zmianie bez powiadomienia. Informacje są podawane “tak jak są” bez jakichkolwiek gwarancji. TP-Link zaleca swoim klientom zastosowanie aktualizacji oprogramowania lub zaimplementowanie udokumentowanego rozwiązania w tym komunikacie. Urządzenia i systemy, które nie zostaną zaktualizowane lub nie zostanie ograniczona ich podatność, mogą w dalszym ciągu być zagrożone. TP-Link zrzeka się jakiejkolwiek odpowiedzialności za szkody i straty wynikające z niepowodzenia implementacji podanych aktualizacji.