Коротко: 16 сентября 2026 года исследователи компании OPSWAT опубликовали детали двух уязвимостей нулевого дня в популярной домашней видеокамере TP-Link Tapo C200 — CVE-2026-15315 и CVE-2026-15316. Первая позволяет злоумышленнику, находящемуся в той же сети, получить полный администраторский доступ без знания пароля и смотреть видеопоток в реальном времени. Патч V5_1.4.6, вышедший 18 августа, закрывает обе уязвимости, однако третья критическая дыра пока остаётся без исправления.
Что случилось: нулевые дни в самой популярной домашней камере
TP-Link Tapo C200 — одна из самых распространённых домашних IP-камер: её устанавливают для наблюдения за детьми, питомцами и квартирой. По данным крупных ритейлеров, это стабильно одна из топ-3 продаваемых домашних камер видеонаблюдения в России. 16 сентября 2026 года компания OPSWAT раскрыла две уязвимости в прошивке этой модели. Обе позволяют атаковать устройство без предварительного знания пароля — при условии, что злоумышленник находится в той же локальной сети: домашний Wi-Fi, офисная сеть или любая общая точка доступа, к которой подключена камера. О том, почему безопасность домашней сети так важна, читайте в нашем блоге о приватности.
Уязвимости были обнаружены в ходе планового аудита безопасности устройств умного дома. OPSWAT уведомила TP-Link заблаговременно и скоординировала выпуск патча до публичного раскрытия первых двух CVE. Именно такая практика — coordinated disclosure — позволяет производителям выпустить исправление до того, как уязвимость начнут эксплуатировать массово. Однако даже при наличии патча большинство пользователей не обновляют прошивку своих IoT-устройств своевременно — или не обновляют никогда.
CVE-2026-15315: администраторский доступ без пароля через перехват сессии
Наиболее опасная уязвимость, CVE-2026-15315, представляет собой обход аутентификации через атаку повторного воспроизведения (replay attack). Камера использует механизм сессионных токенов, которые не аннулируются должным образом после завершения сеанса. Злоумышленник, имеющий доступ к сети, может перехватить или воспроизвести ранее использованный токен и получить действующий административный сеанс — без знания вашего пароля и без какого-либо взаимодействия с вашей стороны.
После успешной эксплуатации атакующий получает полный административный контроль над устройством:
- просмотр живого видеопотока с вашей камеры в реальном времени;
- доступ к сохранённым записям — на карте памяти или в облаке;
- изменение конфигурации: отключение уведомлений о движении, смена паролей, переадресация трафика;
- использование скомпрометированной камеры как плацдарма для продвижения вглубь домашней сети и атаки на другие устройства.
Камера, установленная для защиты вашего дома, превращается в инструмент слежки за вами — без каких-либо видимых признаков вторжения. Жёлтый индикатор ведёт запись в штатном режиме, приложение не показывает ничего подозрительного, однако чужой уже давно смотрит ваш дом.
CVE-2026-15316: отказ в обслуживании через сеть
Вторая уязвимость, CVE-2026-15316, позволяет неаутентифицированному злоумышленнику в той же сети отправить специально сформированные зашифрованные данные в процессе настройки камеры (onboarding). Устройство не способно корректно их обработать, из-за чего HTTPS-сервис камеры аварийно завершается — устройство становится недоступным и не реагирует на команды до полного перезапуска.
На первый взгляд DoS выглядит менее страшно, чем обход аутентификации. Но на практике это означает: злоумышленник может «выключить» вашу камеру в любой момент — например, прямо перед тем, как проникнуть в дом. Вы будете думать, что ведётся видеозапись, тогда как камера давно упала. Именно такая комбинация (DoS + физический доступ) делает CVE-2026-15316 особенно опасной в контексте бытового применения.
Третья уязвимость: критическая, без патча на сегодняшний день
Наиболее тревожная часть отчёта OPSWAT — упоминание третьей уязвимости критического уровня опасности в той же камере TP-Link Tapo C200. Исследователи продолжают ответственное раскрытие совместно с TP-Link, поэтому технические детали не публикуются до выхода патча. По предварительной информации, уязвимость может позволить атакующему полностью скомпрометировать камеру и закрепиться в домашней сети — с возможностью атаковать другие подключённые устройства. Сроки выхода исправления не объявлены.
Это означает: даже если вы уже обновили прошивку до V5_1.4.6 и закрыли две известные уязвимости, ваша камера по-прежнему содержит неизвестную критическую дыру. Единственный надёжный промежуточный шаг — изолировать камеру в отдельном сегменте сети (гостевая Wi-Fi-сеть), чтобы даже при компрометации устройства злоумышленник не получил доступ к вашим компьютерам, смартфонам и NAS. Подробнее о том, как LiMP VPN помогает защитить трафик устройств умного дома, читайте в разделе функций сервиса.
Как защититься прямо сейчас: пошаговый план
- Обновите прошивку до V5_1.4.6 или новее. Откройте приложение Tapo → выберите камеру → «Настройки» (значок шестерёнки) → «Информация об устройстве» → «Версия прошивки». Если доступно обновление — установите его немедленно.
- Смените пароль учётной записи Tapo. Даже после обновления: если сессионный токен был перехвачен ранее, смена пароля принудительно инвалидирует все активные сессии и создаст новые.
- Изолируйте IoT-устройства в отдельной Wi-Fi-сети. Большинство современных домашних роутеров поддерживают гостевую сеть — переключите камеру туда. Устройства в гостевой сети не видят основную сеть, и даже если камера будет скомпрометирована, злоумышленник не сможет добраться до ваших ноутбуков, телефонов и умных колонок.
- Отключите удалённый доступ к камере, если вы им не пользуетесь активно. Каждый открытый порт — дополнительная поверхность атаки снаружи.
- Следите за обновлениями TP-Link. Критический патч для третьей уязвимости ещё не вышел — установите его сразу, как только он появится в приложении Tapo или на официальном сайте поддержки.
Для дополнительного уровня защиты домашней сети в целом рассмотрите подключение VPN на уровне роутера: весь исходящий трафик будет зашифрован, что существенно затрудняет сетевую разведку вашего дома извне. Ознакомьтесь с тарифами LiMP VPN — шифрование всех устройств в одной подписке.