Se han detectado dos vulnerabilidades de día cero (CVE-2026-15315 y CVE-2026-15316) en las cámaras inteligentes TP-Link Tapo C200. Estos fallos permitirían a atacantes conectados a la misma red omitir la autenticación o interrumpir los servicios del dispositivo. TP-Link ya ha solucionado estos problemas mediante la versión de firmware V5_1.4.6, lanzada el 18 de agosto de 2026.

Las cámaras inteligentes TP-Link Tapo C200 se vieron afectadas por dos **vulnerabilidades de día cero** que podrían permitir a atacantes en la misma red saltarse la autenticación o interrumpir los servicios de la cámara.

Los fallos, rastreados como CVE-2026-15315 y CVE-2026-15316, fueron solucionados en la versión de firmware V5_1.4.6, lanzada el 18 de agosto de 2026.

Las cámaras TP-Link Tapo se despliegan ampliamente en hogares y pequeñas empresas para el **monitoreo de video remoto**. Los dispositivos proporcionan transmisión de video en vivo, integración con aplicaciones móviles, funciones conectadas a la nube y servicios de gestión local. Sin embargo, su conectividad de red también puede crear un punto de entrada para atacantes si los controles de seguridad fallan.

Las vulnerabilidades fueron descubiertas por los investigadores de OPSWAT, Khoi Tran y Thai Do, como parte del Programa de Becas de Posgrado en Ciberseguridad de Infraestructuras Críticas de la compañía. Los investigadores examinaron el firmware de la Tapo C200 y las funciones de comunicación local en un entorno de laboratorio controlado.

Vulnerabilidades de Día Cero en Cámaras TP-Link

CVE-2026-15315 es una **vulnerabilidad de omisión de autenticación** en la interfaz de gestión HTTPS local de la cámara. La Tapo C200 expone su servicio de gestión a través de HTTPS en el puerto 443 y utiliza un proceso de desafío-respuesta para verificar a los usuarios antes de crear una sesión autenticada.

En un sistema de desafío-respuesta seguro, el dispositivo envía un desafío al usuario, y el cliente debe devolver una respuesta correcta derivada de la contraseña del administrador. OPSWAT descubrió que la cámara afectada incluía una ruta de verificación alternativa que no aplicaba correctamente la validación basada en contraseña.

Bajo ciertas condiciones, un atacante podría repetir un valor que la cámara generó durante la autenticación. El dispositivo podría entonces aceptar ese valor como válido y crear una sesión administrativa sin requerir que el atacante conozca la contraseña de la cámara.

Esto significa que un actor de amenazas con acceso a la red de una Tapo C200 vulnerable podría potencialmente **obtener acceso de nivel de administrador** mediante solo un pequeño número de solicitudes. No se requiere ninguna cuenta válida, sesión existente ni interacción del usuario.

El acceso administrativo podría permitir que un atacante cambie la configuración del dispositivo, altere la configuración de la red, acceda a funciones de gestión privilegiadas y, potencialmente, vea funciones de la cámara sensibles a la privacidad. Esto podría exponer transmisiones en vivo o grabaciones almacenadas, creando un riesgo grave de vigilancia y privacidad para los usuarios afectados.

El segundo fallo, CVE-2026-15316, es una **vulnerabilidad de denegación de servicio (DoS)** en el proceso de incorporación de Wi-Fi de la cámara. Durante la incorporación, el dispositivo procesa datos de credenciales de Wi-Fi cifrados.

OPSWAT descubrió que el firmware afectado no validaba correctamente el tamaño de los datos cifrados antes de enviarlos a las funciones de procesamiento criptográfico y de configuración.

Un atacante no autenticado en la red podría enviar un valor de credenciales cifradas excesivamente grande al servicio vulnerable. La entrada malformada podría provocar la caída del servicio HTTPS de la cámara, impidiendo que los usuarios legítimos accedan o gestionen el dispositivo hasta que el servicio se recupere.

El problema no requiere autenticación ni interacción directa con la víctima. Sin embargo, el atacante debe tener acceso a la red de la cámara, como una red Wi-Fi local, un sistema interno comprometido o una interfaz de gestión expuesta incorrectamente.

OPSWAT informó de las vulnerabilidades a TP-Link el 16 de abril de 2026. TP-Link confirmó los hallazgos el 10 de julio y lanzó parches el 18 de agosto. La empresa asignó los códigos CVE-2026-15315 y CVE-2026-15316 el 13 de agosto.

Deberías actualizar inmediatamente las cámaras TP-Link Tapo C200 afectadas a la versión de firmware V5_1.4.6 o posterior. Restringe las interfaces de gestión de la cámara a redes confiables, y si tienes una empresa, deberías colocar los dispositivos IoT en segmentos de red separados para reducir el impacto de un compromiso.