TP-Link ha revelado una vulnerabilidad de alta gravedad (CVE-2026-76784) que afecta a varios dispositivos domésticos inteligentes Kasa. Este fallo permite que atacantes conectados a la misma red local puedan interceptar, repetir o falsificar comandos de control, lo que podría provocar cambios no autorizados en el estado del dispositivo, la interrupción de su funcionamiento normal o situaciones de denegación de servicio.

TP-Link ha revelado una vulnerabilidad de gravedad alta que afecta a múltiples dispositivos domésticos inteligentes Kasa, la cual podría permitir que atacantes en la misma red local intercepten, reproduzcan o falsifiquen comandos de control del dispositivo.

Identificada como CVE-2026-76784, este fallo puede provocar cambios no autorizados en el estado del dispositivo, la interrupción de su funcionalidad normal o condiciones de denegación de servicio.

El aviso de seguridad, actualizado por última vez el 26 de agosto de 2026, atribuye el problema a protecciones criptográficas insuficientes en el protocolo de comunicación local de los dispositivos utilizado por los productos Kasa afectados. La vulnerabilidad tiene una puntuación CVSS v4.0 de 8.7, calificada como Alta.

Para explotarla, el atacante debe estar adyacente al dispositivo objetivo, lo que significa que necesita acceso a la misma red local o entorno inalámbrico. No se requiere autenticación, privilegios ni interacción del usuario.

Esto podría aumentar el riesgo en entornos Wi-Fi compartidos, redes domésticas comprometidas, redes de invitados o despliegues empresariales donde los dispositivos inteligentes comparten el acceso a la red con sistemas menos confiables.

Vulnerabilidad en Dispositivos Domésticos Inteligentes TP-Link Kasa

Según TP-Link, la debilidad puede permitir que un atacante capture mensajes de control intercambiados localmente entre la aplicación Kasa, el dispositivo u otros componentes locales.

El atacante podría entonces reproducir comandos previamente válidos o falsificar nuevos mensajes debido a salvaguardas criptográficas inadecuadas que protegen la integridad y autenticidad de los comandos.

Una explotación exitosa podría permitir que un atacante encienda o apague enchufes, interruptores y productos de iluminación inteligentes sin autorización. En escenarios prácticos, esto podría interrumpir el funcionamiento de electrodomésticos conectados, apagar la iluminación, alterar programaciones o emitir comandos repetidamente para dejar un dispositivo no disponible.

El impacto es particularmente relevante para los dispositivos Kasa utilizados en oficinas en casa, pequeñas empresas, entornos minoristas o instalaciones automatizadas.

La lista de productos afectados incluye enchufes e interruptores inteligentes Kasa como HS103P3, HS103P4, EP10, EP25 V2, HS300 V2, KP303 V2, EP40A, KP125MP2, KP125MP4, KP115, KS225, KS205, KS240, ES20M, KS220M, KP200 V3, HS200 V5.26 y varias variantes de HS220. La bombilla inteligente KL125 también está afectada.

TP-Link ha publicado versiones de firmware corregidas para los dispositivos listados. Por ejemplo, si eres usuario de HS103P3 o HS103P4, debes actualizar a la versión 1.1.3 Build 250908 Rel.112508, mientras que si usas KL125, debes instalar la versión 1.1.1 Build 260710 Rel.082646.

Debes verificar tu versión exacta de hardware antes de aplicar el firmware, ya que los lanzamientos de firmware de Kasa varían según el modelo y la variante regional.

Se te recomienda actualizar los dispositivos afectados a través del Centro de Descargas de TP-Link o la aplicación Kasa Smart. Hasta que instales las actualizaciones, deberías aislar los dispositivos IoT en una red o VLAN separada, restringir el acceso desde redes Wi-Fi de invitados y monitorear cualquier comportamiento inusual del dispositivo.

El CVE-2026-76784 resalta las consecuencias de seguridad de una protección débil en las comunicaciones locales de IoT. Incluso cuando los dispositivos no están expuestos directamente a internet, los atacantes que obtienen acceso a la red local aún pueden manipular sistemas físicos conectados a productos inteligentes vulnerables.

Fuentes:
https://cybersecuritynews.com/tp-link-kasa-smart-home-devices-vulnerability/