Forescout ordnet die 15 Schwachstellen vier Wirkungsklassen zu: clientseitige Codeausführung, Offenlegung von Informationen, Geräteübernahme und Spoofing sowie die Kompromittierung verschlüsselter Kommunikation. Zusammen mit den beiden bereits veröffentlichten CVEs CVE-2025-7850 und CVE-2025-7851 seien damit konkrete Angriffe möglich, über die Angreifer über Controller und Client-Geräte in Netzwerke eindringen können.
TP-Links Sicherheitsmitteilung nennt 15 neu offengelegte Schwachstellen, von denen 11 eine Kennung erhalten haben. Vier weitere Befunde wurden nicht mit einer Tracking-Nummer versehen. Diese betreffen die Geräteaufnahme, die allein auf Kenntnis der Seriennummer basiert, Standardzugangsdaten während der ersten Aufnahme, vorhersagbare Seriennummern sowie Dateien, die über nicht authentifizierte temporäre Download-Links bereitgestellt werden.
Ein von Forescout beschriebenes Angriffsszenario beginnt mit der Aufzählung vorhersagbarer Geräteseriennummern. Dadurch könne ein entfernter Angreifer an MAC-Adressen gelangen und Geräte identifizieren, die auf ihre Aufnahme warten. Anschließend könne er sich als eines dieser Geräte ausgeben, eine Race Condition während der Cloud-Aufnahme ausnutzen und sich mit Standardzugangsdaten anmelden.
In der Folge würde der Controller laut Forescout die Gerätekonfiguration preisgeben, darunter einen Benutzernamen im Klartext, einen ungesalzenen MD5-Passworthash und möglicherweise VPN-Schlüssel. Zudem könne der Angreifer JavaScript in die Administrationsoberfläche des Controllers einschleusen, um einen Administrator per Phishing zur Preisgabe seiner Zugangsdaten für den Cloud-Controller zu verleiten.
Mit diesen Zugangsdaten könne ein Angreifer danach verwaltete Geräte umkonfigurieren, VPN-Tunnel in das interne Netzwerk aufbauen und die bereits bekannten Command-Injection-Lücken ausnutzen, um Netzwerkgeräte zu kompromittieren. Die Schwachstellen betreffen laut Bericht Omada Controller, Gateways, Switches, Access Points, OLT-Plattformen, Cloud-Dienste und die mobilen Anwendungen von TP-Link.
Forescout meldet außerdem, mehr als 1.800 aus dem Internet erreichbare Omada-Controller identifiziert zu haben, obwohl solche Installationen im Regelfall nicht für eine direkte Erreichbarkeit aus dem Internet vorgesehen sind. Bei den Android-Anwendungen kommen Omada und Omada Guard zusammen auf 1,1 Downloads bei Google Play; insgesamt verzeichnen TP-Link-Apps nach den Angaben im Quelltext 3 bis 7 Millionen aktive Konten.
TP-Link verweist Nutzer auf das Omada-Downloadportal, um aktuelle Firmware für das jeweilige Gerätemodell zu beziehen. Darüber hinaus wird empfohlen, starke und eindeutige Administrator-Zugangsdaten zu verwenden, Mehrfaktor-Authentifizierung zu aktivieren, bei Verdacht auf eine Kompromittierung alle Geheimnisse auszutauschen, mobile Apps zu aktualisieren und den Netzwerkverkehr auf verdächtige Aktivitäten zu überwachen.