TP-Link Tapo C210: credenziali e metadati crittografici esposti da API non autenticate

Chi è sulla stessa rete locale di una Tapo C210 v3.6 può ottenere, con richieste API non autenticate, una credenziale condivisa accettata come password amministrativa e aprire sessioni multimediali cifrate. CVSS 7,1 (v4.0); non risulta nel catalogo CISA KEV.

Alta 7,1Pubblicata il 19 ottobre 2026

Tutti gli avvisi della settimana

Cosa significa per l'impianto

La Tapo C210 è una telecamera IP tipica degli impianti piccoli (negozi, studi, abitazioni), spesso collegata al cloud del produttore per la visione da app. Secondo la fonte l'attaccante deve trovarsi nella stessa rete (rete adiacente), non su internet. Da lì può ottenere una credenziale condivisa, accettata come password amministrativa, e accedere alle sessioni multimediali, cioè ai flussi con cui la telecamera trasmette immagini e audio, senza conoscere la password dell'account. Una password robusta, quindi, non basta: conta quanto la rete delle telecamere sia separata da ospiti, dipendenti e altri dispositivi.

Come capire se sei esposto

Nell'impianto ci sono Tapo C210 con hardware v3.6 e firmware precedente alla V3.6_1.2.7 Build 260818?
Le telecamere stanno sulla stessa rete di ospiti, dipendenti o dispositivi di cui non si controlla la sicurezza, oppure in una rete dedicata?
Chi può collegarsi al Wi-Fi o alle prese di rete a cui sono attestate le telecamere?
Esiste un elenco delle telecamere con modello, versione hardware e firmware, così da sapere quali vanno aggiornate?

Una vulnerabilità pubblicata è un rischio da verificare, non la prova di un'intrusione avvenuta.

Prodotti e versioni

Colpiti	Tapo C210 v3.6 (firmware V3.60), versioni precedenti alla V3.6_1.2.7 Build 260818
Corretti	Tapo C210 v3.6: firmware V3.6_1.2.7 Build 260818

Non sai che firmware hai installato?È la situazione più comune: in molti impianti nessuno tiene un elenco di dispositivi e versioni. Puoi ricostruirlo con un tecnico FENIVA: scrivi su WhatsApp o chiama lo 011 852559. Non inviare password o accessi.

Fonti

Scheda compilata in automatico il 20 ottobre 2026 dalle fonti indicate, secondo le regole redazionali di ipfacile. Testo non rivisto da una persona prima della pubblicazione. Hai trovato un errore? Segnalacelo.

Vedi tutti gli avvisi della settimana Vulnerabilità, sanzioni del Garante ed edizioni, in un'unica pagina.

Parla con un tecnico FENIVA

ipfacile è un servizio informativo di FENIVA S.R.L., Torino, che dal 2004 progetta e segue reti, impianti di videosorveglianza e dispositivi connessi, con un DPO certificato interno. Se hai un dubbio su un apparato della tua rete, puoi parlarne con un tecnico.

Indica marca, modello e versione firmware, se li conosci. Non inviare mai password, codici o accessi: un eventuale collegamento da remoto si concorda dopo, con una procedura scritta.