Forescout verknüpft die neu entdeckten Schwachstellen mit zwei bereits zuvor veröffentlichten Lücken zur Remotecodeausführung, CVE-2025-7850 und CVE-2025-7851. Auf dieser Basis demonstrierten die Forscher mehrere praktikable Angriffspfade gegen die Omada-Umgebung.

In einem der beschriebenen Szenarien kann ein externer Angreifer ohne Zugang zum Netzwerk eine Race Condition während der cloudbasierten Geräteübernahme ausnutzen. Dadurch lassen sich Zugangsdaten und Konfigurationsdaten abfangen. Am Ende steht laut Forescout die administrative Kontrolle über das Cloud-Controller-Konto eines Nutzers sowie ein erster Zugangspunkt im internen Netzwerk.

Weitere Szenarien betreffen Angreifer, die sich bereits im lokalen Netzwerk befinden. Sie können demnach Controller oder Geräte imitieren, um Zugangsdaten abzufangen, geschützten Datenverkehr zu entschlüsseln oder unbefugten Zugriff zu erlangen. In manchen Fällen muss ein Administrator allerdings ein gefälschtes Gerät freigeben, damit der Angriff funktioniert.

Die Tragweite ergibt sich aus der zentralen Rolle der Controller: Ein einzelner kompromittierter Omada-Controller kann eine gesamte Flotte von Geräten verwalten. Laut Forescout könnte eine erfolgreiche Angriffskette einem Eindringling deshalb nicht nur einen Ausgangspunkt im Netzwerk verschaffen, sondern möglicherweise auch eine Befehlsausführung mit Root-Rechten auf den verwalteten Omada-Geräten ermöglichen.

Omada-Controller sollten nicht aus dem Internet erreichbar sein. Forescout erklärt jedoch, 1.800 Instanzen gefunden zu haben, die über das Web zugänglich waren. Das erhöht die praktische Relevanz der von den Forschern beschriebenen Angriffspfade.

Die Probleme beschränken sich nach Angaben von Forescout nicht vollständig auf die Omada-Produktlinie. Einige der zugrunde liegenden Schwächen reichten auch in andere TP-Link-Produkte hinein, darunter die VIGI-IP-Kameraplattform, Festa-Router sowie die Smart-Home-Serien Tapo und Kasa.

TP-Link hat für einen Teil der gemeldeten Probleme Patches und Sicherheitshinweise veröffentlicht. Der Hersteller teilte dem Bericht zufolge mit, dass die Behebung einiger eher struktureller Schwächen möglicherweise erst später im Jahr 2026 abgeschlossen sein werde. Zudem sollen einige als „geringe Schwere“ eingestufte Probleme nicht gepatcht werden.

Forescout will die Ergebnisse am Mittwoch auf der Cybersicherheitskonferenz Black Hat in Las Vegas zusammenfassen.