Router TP-Link od Państwa dostawcy: aktualizacja oprogramowania nie leży w Państwa gestii

W Państwa przedpokoju znajduje się urządzenie, którego nigdy Państwo nie kupili. Należy ono do Państwa dostawcy usług internetowych, płacą Państwo za nie kilka euro miesięcznie, a od dnia jego zainstalowania prawdopodobnie ani razu na nie nie spojrzeli.

10 sierpnia firma TP-Link opublikowała listę, na której może znajdować się to urządzenie.

Komunikat nosi tytuł „Liczne luki w zabezpieczeniach produktów sieciowych TP-Link zarządzanych przez dostawców usług internetowych” i opisuje pięć słabych punktów w urządzeniach, które dostawcy usług internetowych przekazują swoim klientom. Tabela zawarta w komunikacie wymienia 65 modeli. Jednym z nich jest model VX800v(DE), który ma zaznaczone krzyżykiem wszystkie pięć kolumn.

Jest to dokładnie to urządzenie, które firma M-net wynajmuje klientom prywatnym w Monachium, Augsburgu i regionie Allgäu. Cztery euro miesięcznie za router typu „wszystko w jednym” obsługujący łącza DSL i światłowodowe.

Na co faktycznie pozwala ta luka

Najpoważniejsza z tych pięciu luk jest oznaczona numerem CVE-2025-30237 – unikalnym identyfikatorem, pod którym na całym świecie rejestruje się luki w zabezpieczeniach. Firma TP-Link opisuje ją jako nieprawidłową kontrolę dostępu w interfejsie internetowym routera. Niektóre żądania nigdy nie sprawdzają, czy osoba, która je wysłała, jest zalogowana.

Każdy, kto skonstruuje odpowiednie żądanie, uzyska dostęp do funkcji, które powinny być zarezerwowane wyłącznie dla administratora. Nie są wymagane żadne prawidłowe dane uwierzytelniające. Hasło ustawione podczas konfiguracji nie ma tu żadnego znaczenia, ponieważ w tym momencie nikt o nie nie pyta.

A teraz ograniczenie, bez którego reszta tej informacji byłaby jedynie sianiem paniki. Atakujący musi znajdować się w tej samej sieci. Nie jest to atak przeprowadzany przez Internet na każde połączenie. Dotyczy on osób, które dopuszczają gości do głównej sieci Wi-Fi, dzielą mieszkanie lub mieszkają w budynku z jedną wspólną siecią, albo takich, które mają już w domu zainfekowane urządzenie. Jak dotąd nie jest znany żaden publicznie dostępny kod wykorzystujący tę lukę, nie odnotowano też żadnych udokumentowanych ataków.

Nie oznacza to jednak, że zagrożenie jest niegroźne. Przesuwa to jedynie punkt ciężkości pytania. Pytanie nie brzmi, czy ktoś zaatakuje Państwa jutro. Chodzi o to, kto załata tę lukę.

To nie Pan/Pani musi to naprawiać

W przypadku routera zakupionego w sklepie elektronicznym historia zakończyłaby się w tym miejscu. Pobierz oprogramowanie sprzętowe, zainstaluj je – gotowe.

W przypadku urządzenia od dostawcy usług internetowych tak się nie dzieje. Firma TP-Link pisze w tym samym komunikacie:

„W przypadku urządzeń, których dotyczy problem i które korzystają z oprogramowania sprzętowego zarządzanego przez dostawcę usług internetowych, działania naprawcze będą koordynowane przez odpowiednich dostawców usług internetowych”.

A kilka wierszy dalej:

„Obrazy oprogramowania układowego dla podatnych wariantów specyficznych dla poszczególnych dostawców usług internetowych mogą nie być publicznie dostępne do bezpośredniego pobrania”.

Mówiąc wprost, nie ma pliku, który można by pobrać. To dostawca decyduje, kiedy nadejdzie aktualizacja, i podejmuje tę decyzję jednocześnie dla wszystkich swoich klientów. Zauważy Pan to dopiero wtedy, gdy aktualizacja już nastąpi. Albo w ogóle tego nie zauważy.

To jest sedno tej sprawy. Nie chodzi o lukę, ale o odpowiedzialność. Urządzenie znajduje się w Państwa domu, jest podłączone do Państwa linii, a każdy telefon i każdy telewizor w gospodarstwie domowym korzysta z niego. A jedyna strona, która może cokolwiek w tej sprawie zmienić, znajduje się gdzie indziej.

W przypadku modelu VX800v firma TP-Link wskazuje wersję 800.0.16 jako wersję naprawioną. Informacja o tym, czy jest ona już zainstalowana na Państwa urządzeniu, znajduje się w interfejsie internetowym routera.

Nie chodzi nawet o to, czy ma to wpływ na Państwa

Dwa zdania w przypisach do tabeli sprawiają, że sprawa staje się jeszcze bardziej zawiła.

„Szczegółowy zakres zastosowania na poziomie numerów katalogowych (SKU) różni się w zależności od wdrożenia danego dostawcy usług internetowych (ISP) i nie jest publicznie wymieniony”.

„Zakres zastosowania opiera się na analizie modeli ogólnych, ponieważ warianty specyficzne dla poszczególnych dostawców usług internetowych (ISP) mogą się różnić”.

Wykaz firmy TP-Link obejmuje ogólnodostępne wersje detaliczne. Informacje o tym, jaką konkretnie wersję dostarcza dany dostawca, w jaki sposób została ona dostosowana oraz czy zawiera te same słabe punkty, nie są nigdzie publicznie dostępne. Nie jest to przypadek, lecz wynik określonej polityki.

W związku z tym z własnego salonu nie można rozstrzygnąć nawet najprostszej kwestii. Odczytuje Pan model z naklejki, znajduje go na liście, a mimo to nadal nie wie Pan, czy Pański wariant do niej należy. Jedyną stroną, która może Panu to potwierdzić, jest ta sama, która dysponuje aktualizacją.

Co jednak można zrobić

Naklejka na spodzie urządzenia podaje model. Jeśli nazwa zaczyna się od HB, HX, HC, EB, EC, EX, XC, XX lub VX, warto zapoznać się z listą.

Wersja oprogramowania sprzętowego znajduje się w interfejsie internetowym routera, zazwyczaj w sekcji „Narzędzia systemowe” lub „Informacje o urządzeniu”. Jeśli jest starsza niż wersja naprawiająca lukę, zapytaj swojego dostawcę, kiedy pojawi się aktualizacja. To pytanie jest jedyną dostępną Państwu metodą, a działa ono skuteczniej, gdy zadaje je wiele osób.

Do tego czasu dwie rzeczy pomogą natychmiast. Wyłączcie zdalny dostęp i zdalne zarządzanie w takim zakresie, na jaki pozwala interfejs. Skonfigurujcie również sieć dla gości. Dopuszczenie gości do głównej sieci Wi-Fi eliminuje właśnie ten warunek, który utrudnia przeprowadzenie tego ataku.

Producent ma swoją historię

To, że to właśnie firma TP-Link opublikowała tę listę, nie jest przypadkiem. Firma ta od miesięcy znajduje się pod lupą.

Amerykańska agencja ds. cyberbezpieczeństwa CISA wymienia w swoim katalogu znanych luk w zabezpieczeniach, które są wykorzystywane, kilka błędów dotyczących produktów TP-Link, z których najstarszy pochodzi z 2015 roku. W lutym 2026 r. prokurator generalny stanu Teksas złożył pozew przeciwko firmie, argumentując, że routery były reklamowane jako bezpieczne, podczas gdy znane luki w oprogramowaniu sprzętowym pozostawały niezlikwidowane. W marcu organ regulacyjny ds. telekomunikacji FCC zakazał sprzedaży nowych routerów wyprodukowanych poza Stanami Zjednoczonymi.

Jest jeszcze jedna kwestia dotycząca tego konkretnego urządzenia. Model VX800v nie pojawia się po raz pierwszy w komunikacie dotyczącym bezpieczeństwa w 2026 r. Już w lutym pojawił się podobny komunikat, zawierający inne numery i inną liczbę wersji oprogramowania sprzętowego. Model ten więc wciąż pojawia się w takich komunikatach.

Można to interpretować na dwa sposoby, a oba są słuszne. Producent, który zgłasza wiele luk, jest albo niezwykle niedbały, albo niezwykle otwarty. W tym tygodniu liczy się jednak trzecia obserwacja. Nawet jeśli producent rzetelnie zgłasza luki i wprowadza poprawki, to poprawka ta dociera do Państwa tylko wtedy, gdy Państwa dostawca usług ją Państwu przekaże.

Co pozostaje

W Niemczech od 2016 roku obowiązuje swoboda wyboru routera. Nikt nie musi korzystać z urządzenia dostarczonego przez dostawcę usług internetowych; każdy może podłączyć własne. Osoby, które tak postąpiły, nie są objęte niniejszą sprawą i otrzymują aktualizacje bezpośrednio od producenta.

Osoby, które zatrzymały wypożyczony router – a jest to większość użytkowników – postawiły na wygodę. Urządzenie jest dostarczane w stanie wstępnie skonfigurowanym, działa od razu, a gdy coś się zepsuje, odpowiedzialność ponosi ktoś inny. Cena za to została opisana w niniejszym komunikacie. Ta sama osoba ponosi również odpowiedzialność, gdy w sieci pozostaje otwarta luka, a Państwo nie dowiadują się ani tego, czy dotyczy to Państwa, ani kiedy zostanie ona zamknięta.

W praktyce oznacza to, że wystarczy raz sprawdzić, jakie urządzenie znajduje się w Państwa domu i jakie oprogramowanie na nim działa. Dwie minuty raz w roku. A jeśli wersja jest zbyt stara, proszę zapytać. Nie dlatego, że jutro ktoś włamie się do Państwa sieci, ale dlatego, że zapytanie jest jedyną możliwością, jaką pozostawia Państwu ten układ.