TP-Link Tapo C320WS: overflow nella configurazione Wi-Fi locale, comandi come root

Un overflow nello stack del percorso di configurazione Wi-Fi locale della Tapo C320WS v2 permette a un attaccante autenticato, sulla stessa rete, di eseguire comandi come root e prendere il controllo della telecamera. CVSS 8,5 (v4.0); non risulta nel catalogo CISA KEV.

Alta 8,5Pubblicata il 19 ottobre 2026

Tutti gli avvisi della settimana

Cosa significa per l'impianto

La Tapo C320WS è una telecamera IP usata in impianti piccoli (negozi, studi, abitazioni), spesso collegata al cloud del produttore. Il difetto è un overflow, cioè un campo più lungo dello spazio previsto in memoria, nella configurazione Wi-Fi locale: serve però essere autenticati e trovarsi nella stessa rete. L'esito indicato dalla fonte è il controllo della telecamera, con accesso alla configurazione locale e possibile blocco del servizio. Una password unica e robusta e una rete separata limitano chi può provarci, ma una telecamera compromessa resta un dispositivo dentro la rete dell'impianto.

Come capire se sei esposto

Nell'impianto ci sono Tapo C320WS v2 con firmware precedente alla 1.6.6 Build 260917 Rel.81089n?
La password dell'account di ogni telecamera è unica, robusta e nota solo a chi ne ha bisogno?
Chi può collegarsi alla stessa rete delle telecamere, per esempio tramite un Wi-Fi condiviso con ospiti o dipendenti?
Le telecamere sono separate dal resto della rete, in modo che una compromissione non arrivi a NVR, PC e archivi?

Una vulnerabilità pubblicata è un rischio da verificare, non la prova di un'intrusione avvenuta.

Prodotti e versioni

Colpiti	Tapo C320WS v2, firmware precedenti alla 1.6.6 Build 260917 Rel.81089n
Corretti	Tapo C320WS v2: firmware 1.6.6 Build 260917 Rel.81089n

Non sai che firmware hai installato?È la situazione più comune: in molti impianti nessuno tiene un elenco di dispositivi e versioni. Puoi ricostruirlo con un tecnico FENIVA: scrivi su WhatsApp o chiama lo 011 852559. Non inviare password o accessi.

Fonti

Scheda compilata in automatico il 20 ottobre 2026 dalle fonti indicate, secondo le regole redazionali di ipfacile. Testo non rivisto da una persona prima della pubblicazione. Hai trovato un errore? Segnalacelo.

Vedi tutti gli avvisi della settimana Vulnerabilità, sanzioni del Garante ed edizioni, in un'unica pagina.

Parla con un tecnico FENIVA

ipfacile è un servizio informativo di FENIVA S.R.L., Torino, che dal 2004 progetta e segue reti, impianti di videosorveglianza e dispositivi connessi, con un DPO certificato interno. Se hai un dubbio su un apparato della tua rete, puoi parlarne con un tecnico.

Indica marca, modello e versione firmware, se li conosci. Non inviare mai password, codici o accessi: un eventuale collegamento da remoto si concorda dopo, con una procedura scritta.