A TP-Link divulgou duas vulnerabilidades de segurança críticas em seu roteador Archer AX55 v4 que podem permitir que atacantes na rede local executem código remotamente, roubem credenciais de administrador e causem interrupção de serviço. As falhas, rastreadas como CVE-2026-18167 e CVE-2026-18330, afetam os módulos EasyMesh e de login web do dispositivo. A empresa lançou a versão de firmware 1.2.1 Build 20260527 para corrigir ambas as questões, com o aviso de segurança publicado em 3 de setembro de 2026.
Descoberta e escopo da falha
A vulnerabilidade mais grave, identificada como CVE-2026-18167, é um estouro de pilha (stack-based buffer overflow) no componente EasyMesh do roteador. Ela possui uma pontuação CVSS v4 de 7.7 e é classificada como de alta severidade. O EasyMesh conecta dispositivos de rede compatíveis em uma única rede Wi-Fi mesh. De acordo com a TP-Link, a vulnerabilidade torna-se explorável quando o modo Mesh está habilitado no Archer AX55 v4.
Um atacante conectado à rede local do alvo poderia enviar uma entrada especialmente elaborada para o serviço EasyMesh, conhecido como daemon easymesh. A entrada maliciosa poderia forçar o serviço a falhar. Em alguns casos, a falha também permitiria que o atacante executasse código no roteador. A execução remota de código em um roteador é particularmente perigosa porque o dispositivo fica entre os sistemas locais e a internet.
Impacto e riscos operacionais
Atacantes que comprometem um roteador podem tentar monitorar o tráfego de rede, alterar configurações de DNS, redirecionar usuários para sites maliciosos, escanear dispositivos conectados ou usar o roteador como ponto de apoio para atacar a rede mais ampla. A TP-Link disse que a exploração bem-sucedida poderia ter um alto impacto na confidencialidade, integridade e disponibilidade do roteador afetado. No entanto, o ataque requer acesso à rede local, e o modo Mesh deve estar habilitado.
A segunda vulnerabilidade, CVE-2026-18330, afeta o módulo de login web do Archer AX55 v4. A falha é causada por uma chave privada RSA-1024 compartilhada e fixada (hardcoded) embutida no produto. Um atacante local que captura uma sessão de login de administrador baseada em HTTP poderia usar a chave privada conhecida para decifrar a senha do administrador. A TP-Link também observou que uma chave de sessão AES fraca reduz o esforço necessário para comprometer a confidencialidade da sessão de login.
Medidas de mitigação recomendadas
A vulnerabilidade recebeu uma pontuação CVSS v4 de 6.1 e é classificada como de severidade média. Embora não forneça diretamente a execução de código, credenciais de administrador de roteador roubadas poderiam dar a um atacante controle sobre configurações de configuração chave. A fraqueza destaca os riscos de usar HTTP para acesso administrativo. Sessões HTTP não criptografadas podem expor dados de login sensíveis a atacantes na mesma rede, especialmente em redes Wi-Fi inseguras ou compartilhadas.
As vulnerabilidades afetam roteadores TP-Link Archer AX55 com versão de hardware V4. A versão de firmware corrigida é 1.2.1 Build 20260527. A TP-Link recomenda fortemente que os proprietários atualizem seus dispositivos o mais rápido possível através da página oficial de download de firmware Archer AX55 V4. Os usuários também devem desativar o modo Mesh quando não estiverem sendo necessário, evitar gerenciar o roteador via HTTP, usar uma senha de administrador forte e única, e garantir que o acesso de gerenciamento do roteador não esteja exposto a redes não confiáveis.
Análise técnica detalhada
A exploração do CVE-2026-18167 requer que o atacante esteja na mesma rede local e que o modo Mesh esteja ativo. O estouro de pilha ocorre no daemon easymesh, que gerencia a comunicação entre os nós da rede mesh. A injeção de dados maliciosos pode corromper a pilha de memória, permitindo a execução de shellcode arbitrário. Isso concede ao atacante privilégios de sistema no roteador, permitindo a modificação de tabelas de roteamento, injeção de DNS e potencial pivoting para outros dispositivos na LAN.
O CVE-2026-18330 explora uma falha de design na implementação de criptografia. A chave privada RSA-1024 é compartilhada entre todas as instâncias do firmware dessa versão, o que significa que um atacante que a descubra (ou a extraia de um dispositivo comprometido) pode descriptografar qualquer sessão de login HTTP capturada. Isso é particularmente preocupante em redes onde o tráfego de gerenciamento não é forçado para HTTPS, uma prática comum em dispositivos IoT e de rede de baixo custo.
Perguntas frequentes
- Qual a gravidade da falha? A falha de buffer overflow é classificada como alta (7.7 CVSS), enquanto a chave fixa é média (6.1 CVSS).
- É necessário acesso físico? Não, o atacante precisa apenas de acesso à rede local Wi-Fi ou cabeada.
- Como verificar a versão? Os administradores devem acessar o painel de administração do roteador e verificar a versão do firmware na seção de status.
- O que fazer se não houver atualização? Desative o modo Mesh e force o uso de HTTPS para o gerenciamento, se disponível.
O que os CISOs devem fazer imediatamente
Equipes de segurança devem priorizar a atualização de dispositivos TP-Link Archer AX55 v4 em suas redes corporativas e de filiais. A exposição de credenciais de administrador de rede pode levar a comprometimentos mais amplos. Recomenda-se a revisão de políticas de segurança de rede para garantir que o tráfego de gerenciamento seja criptografado e que o modo Mesh seja desativado em dispositivos que não utilizam essa funcionalidade. A monitoração de logs de autenticação do roteador deve ser intensificada para detectar tentativas de login suspeitas ou acessos fora do horário comercial.