IT SBIT Services
Schneeberger
DEEN
CVE-Tracker

TP-Link Kasa-Geräte: Unzureichende Authentifizierung im lokalen Geräteverwaltungsprotokoll

CVE-2026-108473Hoch 8.7

← Alle Schwachstellen

Zusammenfassung

Mehrere Smart-Home-Geräte von TP-Link Kasa nehmen Verwaltungsbefehle über das lokale Geräteverwaltungsprotokoll ohne ausreichende Authentifizierung und Autorisierung an. Ein nicht authentifizierter Angreifer im selben Netzwerksegment (LAN, WLAN oder ein kompromittiertes Gerät) kann den Gerätezustand oder die Verwaltungseinstellungen ändern. Unter bestimmten Bedingungen, die das Zusammenspiel von Benutzer, Mobile-App und Geräte-Cloud-Dienst betreffen, können zudem kontobezogene Informationen offengelegt werden, was zur Kompromittierung des verknüpften Cloud-Kontos führen kann. Der CVSS-v4.0-Basiswert beträgt 8.7 (hoch).

Betroffen

  • HS103 v5: Versionen vor 1.1.3 Build 250908 Rel.112508
  • EP10 v1: Versionen vor 1.1.1 Build 250908 Rel.112508
  • EP40 v1: Versionen vor 1.1.0 Build 250225 Rel.171723
  • HS200 v5: Versionen vor 1.1.2 Build 241220 Rel.165559
  • KP401 v1: Versionen vor 1.1.2 Build 241223 Rel.094434
  • KS230 KIT v2: Versionen vor 1.1.4 Build 241223 Rel.105830
  • KP405 v1: Versionen vor 1.1.0 Build 250225 Rel.174632
  • HS220 v3: Versionen vor 1.1.4 Build 241220 Rel.171050
  • KP115 v1: Versionen vor 1.1.1 Build 250908 Rel.112945
  • HS210 v3: Versionen vor 1.1.0 Build 250225 Rel.163425
  • HS300 v2: Versionen vor 1.1.2 Build 241220 Rel.171333
  • KP200 v3: Versionen vor 1.1.0 Build 250225 Rel.171724
  • KP303 v2: Versionen vor 1.1.2 Build 241220 Rel.173321
  • KS200 v1: Versionen vor 1.1.2 Build 241223 Rel.103857
  • EP40A v1: Versionen vor 1.1.1 Build 250908 Rel.112526

Quelle: CVE-Eintrag (CNA: TP-Link). Die Versionen sind anhand der TP-Link FAQ 5342 zu prüfen.

Behoben in

  • Auf die korrigierte Firmware des jeweiligen Modells aktualisieren, d. h. auf die erste Version nach dem betroffenen Bereich:
  • HS103 v5: 1.1.3 Build 250908 Rel.112508 oder neuer
  • EP10 v1: 1.1.1 Build 250908 Rel.112508 oder neuer
  • EP40 v1: 1.1.0 Build 250225 Rel.171723 oder neuer
  • HS200 v5: 1.1.2 Build 241220 Rel.165559 oder neuer
  • KP401 v1: 1.1.2 Build 241223 Rel.094434 oder neuer
  • KS230 KIT v2: 1.1.4 Build 241223 Rel.105830 oder neuer
  • KP405 v1: 1.1.0 Build 250225 Rel.174632 oder neuer
  • HS220 v3: 1.1.4 Build 241220 Rel.171050 oder neuer
  • KP115 v1: 1.1.1 Build 250908 Rel.112945 oder neuer
  • HS210 v3: 1.1.0 Build 250225 Rel.163425 oder neuer
  • HS300 v2: 1.1.2 Build 241220 Rel.171333 oder neuer
  • KP200 v3: 1.1.0 Build 250225 Rel.171724 oder neuer
  • KP303 v2: 1.1.2 Build 241220 Rel.173321 oder neuer
  • KS200 v1: 1.1.2 Build 241223 Rel.103857 oder neuer
  • EP40A v1: 1.1.1 Build 250908 Rel.112526 oder neuer

Umgehung

  • Kein Workaround des Herstellers veröffentlicht. Die Massnahme des Herstellers ist das Firmware-Update.
  • Bis zum Patch Kasa-Geräte in einem separaten IoT-VLAN oder Gast-Netzwerk betreiben, getrennt vom Haupt-LAN und von geschäftskritischen Systemen (allgemeine Praxis, nicht vom Hersteller).
  • Nicht vertrauenswürdigen Geräten den Zugriff auf Kasa-Geräte im lokalen Netzwerk sperren.

Ausnutzung

  • Keine Hinweise auf aktive Ausnutzung gefunden; zum Zeitpunkt der Recherche kein Eintrag im CISA-KEV-Katalog.
  • Kein öffentlicher Proof-of-Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.
  • CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
  • Der EPSS-Wert von 0.00275 ist vorläufig, da die CVE neu veröffentlicht wurde.

Unsere Empfehlung

  • Alle Kasa-Geräte inventarisieren und jedes Modell sowie jede Firmware-Version anhand der TP-Link FAQ 5342 prüfen.
  • Betroffene Geräte zeitnah auf die korrigierte Firmware aktualisieren.
  • Kasa-Geräte bis zum Patch in einem IoT-VLAN oder Gast-Netzwerk isolieren.
  • Für das verknüpfte TP-Link-Cloud-Konto ein eindeutiges, starkes Passwort und Multi-Faktor-Authentifizierung verwenden.
  • Hinweis: Neuere Firmware kann die Steuerung durch Home Assistant unterbinden, bis Third-Party Compatibility in der Kasa-App aktiviert wird.
  • CISA KEV und öffentliche Exploit-Quellen in den kommenden Wochen erneut prüfen.

Öffentliche Exploits

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:12.

Referenzen der NVD (3)

Quellen

Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:

Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.

Betroffen? Wir helfen.

Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.

Kontakt aufnehmenRSS-Feed