Sigurnosni rizik u srcu automatizacije: Kako 15 novih ranjivosti u TP-Link Omada ekosistemu ugrožavaju komercijalne mreže i IoT uređaje

Analiza istraživanja sa konferencije Black Hat USA 2026: Zloupotreba Zero-Touch Provisioning (ZTP) tehnologije i rizik od masovnog kompromitovanja pametnih kamera, rutera i cloud kontrolera.

Uvod

U eri ubrzane digitalizacije i masovnog širenja mreža u preduzećima, tehnologije za automatsko podešavanje uređaja (poznate kao Zero-Touch Provisioning – ZTP) postale su temelj moderne mrežne infrastrukture. ZTP omogućava IT timovima da na stotine ili hiljade mrežnih uređaja — od ruterā i svičeva do pristupnih tačaka i IP kamera — podešavaju centralizovano, bez potrebe za ručnom konfiguracijom svakog pojedinačnog uređaja na terenu.

Međutim, istraživački tim Vedere Labs iz bezbednosne kompanije Forescout (pod vođstvom vodećih istraživača Stanislava Daševskog i Frančeska La Spine) predstavio je na prestižnoj sajber-konferenciji Black Hat USA 2026 u Las Vegasu alarmantno istraživanje pod nazivom “Zero Day Provisioning”.

Istraživači su otkrili ukupno 15 novih ranjivosti u TP-Link Omada ekosistemu i pratećim uređajima. Kada se ove ranjivosti povežu u lanac (exploit chain) sa dve ranije objavljene kritične mane u operativnom sistemu (CVE-2025-7850 i CVE-2025-7851), napadačima se otvara mogućnost da iz daljine, bez ikakvog fizičkog pristupa, preuzmu potpunu kontrolu nad mrežnim kontrolerima, presretnu šifrovani saobraćaj, ukradu tajne kriptografske ključeve i infiltriraju se u celokupnu mrežu organizacije.

Ranjivosti ne pogađaju samo korporativne Omada rutere, već se prelivaju i na druge TP-Link linije proizvoda, uključujući Festa VPN rutere, VIGI industrijske i nadzorne IP kamere, Tapo i Kasa pametne uređaje za domaćinstva, mobilne aplikacije i naloge na oblaku (TP-Link Cloud).

Arhitektura problema: Zašto je Zero-Touch Provisioning (ZTP) postao kritična tačka napada?

Da bi se razumeo obim i ozbiljnost ovih ranjivosti, neophodno je sagledati šta ZTP predstavlja u savremenim arhitekturama upravljanja mrežama:

Ušteda vremena naspram bezbednosnog kompromisa: ZTP omogućava da se uređaj otpakuje, poveže na napajanje i mrežu, nakon čega on samostalno kontaktira centralni kontroler (lokalni ili u oblaku), preuzima konfiguracione fajlove, sigurnosne sertifikate i lozinke.

Kolaps bezbednosnih odluka (Single Point of Compromise): Kako ističe istraživač Frančesko La Spina, ZTP funkcioniše tako što spaja desetine nezavisnih bezbednosnih i autentifikacionih odluka u jedan automatizovani tok. Ako napadač uspe da naruši poverenje u samom procesu inicijalnog uspostavljanja veze (onboarding/adoption), on automatski dobija pristup svim uređajima pod upravom tog kontrolera.

Visoki nivo poverenja: Mrežni kontroleri i ZTP klijenti po prirodi stvari uživaju visoke privilegije u mreži. Njihovo kompromitovanje napadaču daje neograničenu slobodu za poprečno kretanje (lateral movement) kroz segmentisane mrežne zone.

Prema podacima istraživača, preko 1.800 TP-Link Omada kontrolera u trenutku objave bilo je direktno izloženo i vidljivo na javnom internetu — što predstavlja ogromnu ulaznu tačku za hakerske grupe i botnet mreže.

Detaljna klasifikacija i tehnička analiza 15 novih ranjivosti

Forescout Vedere Labs je objavljene ranjivosti podelio u četiri glavne kategorije uticaja:

┌────────────────────────────────────────────────────────────────────────┐

│                        KATEGORIJE UTICAJA RANJIVOSTI                   │

├────────────────────────────────────────────────────────────────────────┤

│ 1. Izvršavanje koda na strani klijenta (Cross-Channel Scripting / XSS) │

│ 2. Curenje osetljivih informacija i kriptografskih ključeva            │

│ 3. Otmica uređaja i spufovanje (Device Hijacking & Spoofing)          │

│ 4. Narušavanje šifrovane komunikacije i lanca poverenja (Chain of Trust)│

└────────────────────────────────────────────────────────────────────────┘

1. Narušavanje lanca poverenja i tvrdo kodirani ključevi

Jedan od najozbiljnijih sistemskih propusta odnosi se na način na koji Omada protokol verifikuje autentičnost komunikacije između kontrolera i uređaja:

Tvrdo kodirani privatni ključevi (CVE-2025-15627): Verzija 1 Omada protokola koristi statički, tvrdo kodirani privatni ključ ugrađen u sam firmware za zaštitu komunikacije. Svaki napadač koji analizira firmware može izvući ovaj ključ i dekriptovati saobraćaj svih uređaja koji koriste verziju 1 protokola.

Tvrdo kodirani TLS sertifikati (CVE-2025-15628): Verzija 2 Omada protokola oslanja se na statički TLS sertifikat i odgovarajući privatni ključ instaliran na kontrolerima. Zbog ovoga je lanac poverenja u potpunosti narušen, što omogućava napad posrednika (Man-in-the-Middle – MitM).

Predvidivi RC4 ključevi (CVE-2025-15629): RC4 ključ upotrebljen za šifrovanje komunikacije u prvoj verziji protokola ima nedovoljnu entropiju, što omogućava napadačima da sa lakoćom predvide ključ i presretnu podatke.

Neslani MD5 heševi (CVE-2025-15631): Pristupne lozinke za upravljanje uređajima šifrovane su pomoću zastarelog i neslanog (unsalted) MD5 algoritma, uz upotrebu tvrdo kodiranog ključa.

2. Predvidivi serijski brojevi i otmica procesa adopcije u oblaku

Proces usvajanja novih uređaja putem cloud interfejsa pokazao se izuzetno ranjivim na napade manipulacije identifikatorima:

Sekvencijalni serijski brojevi (FSCT-2025-0011): Serijski brojevi TP-Link Omada uređaja generišu se po predvidivom, sekvencijalnom nizu. Napadači mogu metodom nagađanja ili enumeracije preko Omada Cloud API-ja ili web interfejsa izvući MAC adrese i druge poverljive podatke legitimnih uređaja.

Race Condition i spufovanje MAC adresa: Tokom procesa spajanja uređaja sa cloud kontrolerom, napadač može iskoristiti ranjivost vremenskog usklađivanja (race condition). Slanjem zahteva pre legitimnog uređaja i lažiranjem (spoofing) njegove MAC adrese, napadač uspeva da preotme proces registracije i presretne inicijalnu konfiguraciju koja sadrži heševe administratorskih lozinki.

Adopcija samo na osnovu serijskog broja (FSCT-2025-0003): Određeni Omada i Festa VPN ruteri koji još nisu zvanično registrovani mogu biti usvojeni i preuzeti od strane napadača samo znajući njihov serijski broj.

3. Injekcija koda i nebezbedno preuzimanje fajlova

Cross-Channel Scripting (CVE-2025-9289): Web interfejs Omada kontrolera ne vrši adekvatnu sanitizaciju vrednosti koje se šalju tokom procesa usvajanja uređaja. Napadač može poslati zlonamerni JavaScript kod kroz nazive uređaja ili konfiguracione parametre, koji se potom izvršava u pregledaču administratora kada on otvori upravljačku tablu.

Neautorizovano slanje i preuzimanje fajlova (FSCT-2025-0014): Lokalni i cloud kontroleri dozvoljavaju prenos proizvoljnih fajlova na server i njihovo naknadno preuzimanje putem privremenih, neautorizovanih linkova.

4. Spajanje sa kritičnim komandnim injekcijama (CVE-2025-7850 i CVE-2025-7851)

Ozbiljnost ovih 15 ZTP ranjivosti drastično raste u kombinovanom scenariju napada sa prethodno otkrivenim manama:

U oktobru 2025. godine, Vedere Labs je objavio da TP-Link nije u potpunosti uklonio zakrpljeni debug kod iz TP-Link Omada ER605v2 VPN rutera.

Koristeći ranjivost u komandnoj injekciji unutar LuCI/WireGuard VPN podešavanja (CVE-2025-7850), autentifikovani ili privilegovani napadač može ubaciti proizvoljne OS komande.

Uz prisustvo preostalog debug koda (CVE-2025-7851), napadač dobija neograničen root access na operativnom sistemu samog rutera.

Analiza napadačkog lanca (Exploit Chain): Od pretpostavljenog serijskog broja do preuzimanja celokupne mreže

Da bi slikovito prikazali opasnost po organizacije, istraživači kompanije Forescout demonstrireli su kompletan lanac napada koji ne zahteva nikakav fizički kontakt sa opremom:

[ KORAK 1 ] Enumeracija predvidivih serijskih brojeva preko Omada Cloud API-ja (FSCT-2025-0011)

      │

      ▼

[ KORAK 2 ] Izazivanje Race Condition-a i MAC spufovanje tokom cloud adopcije uređaja

      │

      ▼

[ KORAK 3 ] Presretanje inicijalnih konfiguracionih fajlova i ekstrakcija heševa lozinki i VPN ključeva

      │

      ▼

[ KORAK 4 ] Ubacivanje XSS koda kroz Omada web upravljački interfejs (CVE-2025-9289)

      │

      ▼

[ KORAK 5 ] Zloupotreba komandne injekcije (CVE-2025-7850 / CVE-2025-7851) za dobijanje ROOT pristupa

      │

      ▼

[ KORAK 6 ] Potpuna kontrola nad ruterom, presretanje mrežnog saobraćaja i lateralno kretanje kroz LAN

Pored mrežnih rutera i svičeva, opasnost se direktno odnosi i na IP kamere (npr. TP-Link VIGI serija) i pametne uređaje. Ukoliko se IP kamera kompromituje putem ZTP-a ili izloženih lokalnih protokola:

Napadači mogu uživo pratiti ili presretati video-strimove sa sigurnosnih kamera u industrijskim objektima, skladištima i kancelarijama.

Kamera postaje botnet čvor za lansiranje distribuiranih napada odbijanja usluge (DDoS) ili tajni prolaz (pivot point) za prisluškivanje unutrašnjeg saobraćaja u lokalnoj mreži (LAN).

Uticaj na IoT i širi TP-Link ekosistem (VIGI, Tapo, Kasa)

Iako je Omada prvenstveno namenjena malim i srednjim preduzećima (SMB), Forescout napominje da TP-Link koristi deljene softverske komponente, biblioteke i protokole kroz čitav svoj portfolijo.

Nedavno objavljena obaveštenja TP-Linka potvrdila su ranjivosti curenja informacija i na populatnim pametnim kamerama Kasa EC70 v4 i EC71 v4:

CVE-2026-9770 (CVSS 8.6): Ugrađeni tvrdo kodirani kriptografski ključ omogućava napadaču u lokalnoj mreži da izvede MitM napad i presretne administratorske parametre.

CVE-2026-13230 (CVSS 5.3): Mehanizam lokalnog otkrivanja uređaja (Local Discovery) emituje osetljive podatke o geolokaciji bez ikakve autentifikacije.

Ovo potvrđuje sistemski izazov kod velikih proizvođača mrežne opreme: deljeni kod i jedinstvene arhitektonske odluke prenose bezbednosne propuste iz poslovnih rešenja direktno u potrošačke IoT uređaje i obrnuto.

Odgovor kompanije TP-Link i stanje zakrpa

Nakon što je Forescout koordinisano prijavio uočene ranjivosti, TP-Link je izdao zvanične sigurnosne preporuke i objavio ažuriranja firmware-a u više faza.

Proizvođač je naglasio da većina ovih napada zahteva slaganje složenih lanaca ranjivosti, ali je potvrdio validnost nalaza i pozvao sve korisnike da bez odlaganja primene najnoviji softver.

Valja napomenuti da je TP-Link odlučio da za određene uočene propuste (poput FSCT-2025-0003, FSCT-2025-0008, FSCT-2025-0011 i FSCT-2025-0014) ne dodeljuje formalne CVE identifikatore, već ih je rešio direktno kroz nadogradnje kontrolerskog softvera i cloud platforme.

Preporučene mere zaštite i remediacije (Best Practices)

Za mrežne administratore, IT timove i bezbednosne stručnjake koji upravljaju TP-Link Omada infrastrukturom ili IoT uređajima, Forescout i TP-Link preporučuju hitno sprovođenje sledećih mera:

1. Hitno ažuriranje softvera i firmware-a

Nadogradite sve Omada kontrolere (hardware, software i cloud-based) na najnovije zvanične verzije.

Primenite najnoviji firmware na svim Omada i Festa ruterima, svičevima, pristupnim tačkama i VIGI IP kamerama.

Ažurirajte mobilne aplikacije (Omada, Tapo, Kasa) na pametnim telefonima.

2. Upravljanje pristupnim parametrima i ključevima

Rotacija lozinki: Zamenite sve podrazumevane i postojeće lozinke na uređajima. Izbegavajte korišćenje jedinstvene lozinke za sve uređaje tokom ZTP procesa.

TP-Link ID bezbednost: Promenite lozinku za TP-Link ID nalog i obavezno omogućite višefaktorsku autentifikaciju (MFA).

Rotacija VPN ključeva: Odmah promenite sve privatne i javne VPN ključeve i sertifikate koji su bili uskladišteni ili preneti preko pogođenih rutera.

3. Mrežna segmentacija i “Zero-Trust” pristup automatizaciji

Uklanjanje kontrolera sa javnog interneta: Upravljački interfejsi Omada kontrolera nikada ne bi trebalo da budu direktno izloženi javnom internetu. Pristup kontroleru mora se odvijati isključivo putem bezbednog VPN-a ili iz namenske upravljačke mrežne zone (Management VLAN).

Izolacija IoT i klijentskih uređaja: Aktivirajte opcije poput Wireless Client Isolation, Dynamic ARP Inspection, Port Security i 802.1X / NAC kako biste sprečili lokalno prisluškivanje i spufovanje saobraćaja.

Re-evaluacija ZTP procesa: Prihvatite princip “Zero-Trust Provisioning” — smatrajte svaki proces automatizacije visoko-privilegovanim sistemom koji zahteva strogu kontrolu pristupa, enkripciju i kontinuirani monitoring mrežnog saobraćaja.

Zaključak

Istraživanje predstavljeno na konferenciji Black Hat USA 2026 služi kao važno upozorenje celokupnoj IT i sajber-bezbednosnoj industriji. Dok automatizacija podešavanja mrežne opreme donosi ogromne operativne uštede, spajanje višestrukih autentifikacionih koraka u jedan automatizovani proces stvara visoko-atraktivnu metu za napadače.

Ranjivosti otkrivene u TP-Link Omada ekosistemu pokazuju da kompromitovanje samo jednog koraka u ZTP lancu može srušiti kompletan bezbednosni sistem organizacije. Zaštita savremenih mreža više se ne može oslanjati na pretpostavljeno poverenje u unutrašnje protokole — već zahteva striktnu primenu Zero-Trust načela, redovno zakrpljivanje opreme i neprekidni nadzor mrežnih aktivnosti.