Les caméras TP-Link Tapo sont des appareils de sécurité intelligents largement utilisés, conçus pour la surveillance des particuliers et des petites entreprises. En tant que caméras connectées au réseau, ces appareils combinent la diffusion vidéo en continu, la gestion à distance, l'intégration d'applications « mobile » et d'autres services au sein d'un système embarqué compact.
Faits marquants
- Produit concerné : l'OPSWAT a découvert deux vulnérabilités dans la caméra de sécurité intelligente TP-Link Tapo C200
- Identifiants CVE : CVE-2026-15315, CVE-2026-15316
- Types de vulnérabilités : CVE-2026-15315 - Contournement de l'authentification via une attaque par rejeu dans l'interface de gestion locale (un attaquant non authentifié peut obtenir une session d'administrateur valide sans mot de passe) ; CVE-2026-15316 - DOS (déni de service) dû à une validation insuffisante des données d'entrée lors de la configuration du Wi-Fi (provoque le plantage du service HTTPS de la caméra)
- Conditions requises pour l'attaque : accès réseau à la caméra ; aucune authentification ni interaction de l'utilisateur n'est nécessaire
- Statut du correctif : Problème résolu
- Version du micrologiciel corrigée : V5_1.4.6 (publiée le 18 août 2026)
- Mesure à prendre : mettez immédiatement à jour les caméras concernées avec la version V5_1.4.6 ou une version ultérieure du micrologiciel
Cette connectivité rend également la sécurité particulièrement importante. Une faille permettant à un pirate de contourner l'authentification ou d'accéder à des fonctionnalités privilégiées pourrait compromettre la caméra et potentiellement lui offrir un point d'ancrage au sein du réseau où l'appareil est déployé.
Chez OPSWAT, nous contribuons activement à la communauté de la cybersécurité par le biais de la recherche sur les vulnérabilités et de la divulgation responsable. Nous contribuons également à former la prochaine génération de chercheurs en cybersécurité grâce au OPSWAT programme de bourses d’études supérieures en cybersécurité des infrastructures critiques, dans le cadre duquel les boursiers acquièrent une expérience pratique en analysant des menaces de sécurité réelles.
Dans le cadre de ce programme, Khoi Tran a choisi une caméra TP-Link Tapo C200 comme sujet principal de ses recherches indépendantes en matière de sécurité, menées sous la supervision de Thai Do, de l'unité 515 d'OPSWAT .
Ces recherches ont permis de découvrir deux premières vulnérabilités jusque-là inconnues, désormais répertoriées sous les références CVE-2026-15315 et CVE-2026-15316. Ces failles affectent l'authentification et la disponibilité. L'une d'elles peut permettre à un attaquant disposant d'un accès au réseau de contourner le mécanisme d'authentification local de la caméra, tandis que l'autre peut être exploitée pour perturber le fonctionnement normal de l'appareil et provoquer une attaque par déni de service (DoS).
De la recherche à la découverte de vulnérabilités
La découverte de cette chaîne d'attaques a commencé lorsque Khoi Tran et Thai Do ont analysé le micrologiciel et les mécanismes de communication locale du TP-Link Tapo C200, en accordant une attention particulière à la sécurité de ses fonctionnalités de gestion locale, au sein du laboratoire de l'OPSWAT.
Au cours de nos recherches, nous avons identifié une faille inattendue dans le processus d'authentification de la caméra. Khoi et Thai ont poursuivi l'analyse des fonctionnalités de gestion privilégiée de la caméra. Cette analyse a permis de mettre au jour une deuxième vulnérabilité susceptible d'être exploitée pour compromettre la disponibilité de l'appareil.
Calendrier de publication des informations
- 16 avril 2026 : Khoi Tran et Thai Do, de l'OPSWAT , ont signalé ces vulnérabilités à TP-Link.
- 10 juillet 2026 : TP-Link a confirmé ces conclusions et a commencé à travailler à la correction des failles signalées.
- 13 août 2026 : les numéros CVE-2026-15315 et CVE-2026-15316 ont été attribués à ces vulnérabilités.
- 18 août 2026 : TP-Link a publié la version V5_1.4.6 du micrologiciel, qui corrige ces vulnérabilités, ainsi que l'avis de sécurité correspondant.
Les recherches menées sur la TP-Link Tapo C200 vont au-delà des deux vulnérabilités révélées dans cet article. Khoi Tran et Thai Do ont identifié d'autres failles de sécurité au cours de leur enquête, notamment une vulnérabilité critique qui pourrait permettre à un pirate de prendre entièrement le contrôle de la caméra et d'utiliser l'appareil compromis comme point d'ancrage au sein du réseau ; toutefois, ces découvertes font toujours l'objet d'une divulgation coordonnée avec TP-Link et ne relèvent donc pas du champ d'application de cette publication.
OPSWAT continue de travailler en étroite collaboration avec TP-Link sur la validation et la correction des failles. De plus amples détails techniques seront communiqués dès que des correctifs appropriés seront disponibles et que le processus de divulgation coordonnée sera achevé.
Au cœur des vulnérabilités
Les deux vulnérabilités identifiées au cours de nos recherches affectent différentes frontières de sécurité au sein du TP-Link Tapo C200. La vulnérabilité CVE-2026-15315 affecte le mécanisme d'authentification de la caméra, tandis que la vulnérabilité CVE-2026-15316 affecte le traitement des données de configuration lors de la mise en service de l'appareil. Ces deux vulnérabilités peuvent être exploitées par un attaquant non authentifié disposant d'un accès réseau à l'appareil concerné.
L'analyse suivante présente une vue d'ensemble technique de haut niveau des fonctionnalités concernées, des failles de sécurité sous-jacentes et de leurs conséquences. Afin de réduire au minimum les risques d'utilisation abusive, OPSWAT ne divulgue pas les détails relatifs à la mise en œuvre qui pourraient être utilisés pour reproduire ou exploiter ces vulnérabilités.
CVE-2026-15315 : Contournement de l'authentification par rejeu
La TP-Link Tapo C200 rend accessible son interface de gestion locale via HTTPS sur le port 443 et utilise un mécanisme de type « challenge-response » pour authentifier les utilisateurs. Dans le processus d'authentification prévu, la caméra génère un « challenge » et demande au client de renvoyer une réponse correspondante dérivée du mot de passe de l'utilisateur avant qu'une session authentifiée ne soit établie.
Au cours de l'analyse du micrologiciel, Khoi Tran et Thai Do ont identifié une voie d'authentification alternative qui n'impose pas la même vérification des identifiants. Dans certaines conditions, une valeur renvoyée par la caméra lors de l'échange d'authentification peut être réutilisée dans une requête ultérieure et acceptée par la logique de vérification concernée.
Cela va à l'encontre d'une propriété fondamentale du mécanisme « challenge-response ». Au lieu d'exiger du client qu'il prouve qu'il connaît le mot de passe de l'utilisateur, la faille permet à une valeur provenant de la caméra elle-même de satisfaire à une partie du processus d'authentification.
Un attaquant disposant d'un accès réseau à la caméra concernée peut exploiter ce comportement pour obtenir une session d'administration valide sans connaître ni récupérer le mot de passe de l'utilisateur. Aucune session authentifiée existante n'est requise, et le contournement peut être réalisé à l'aide d'un petit nombre de requêtes adressées à l'interface de gestion locale.
Une fois authentifié, le pirate obtient l'accès aux fonctionnalités d'administration normalement réservées à l'administrateur de la caméra, ce qui lui permet d'apporter des modifications non autorisées à la configuration de l'appareil et d'effectuer d'autres opérations privilégiées.
CVE-2026-15316 : Déni de service lors de l'intégration d'un périphérique
La deuxième vulnérabilité se situe dans le processus de configuration initiale de la caméra, au cours duquel l'appareil traite des informations d'authentification Wi-Fi chiffrées.
Les données d'identification chiffrées doivent être correctement validées avant d'être transmises aux routines de chiffrement et de traitement de la configuration. Or, notre analyse a révélé que le chemin de traitement concerné ne valide pas correctement la taille des données d'identification chiffrées avant de les traiter.
Un attaquant non authentifié disposant d'un accès réseau à la caméra peut envoyer une valeur d'identification chiffrée trop volumineuse. Lorsque ces données mal formées atteignent le chemin de traitement vulnérable, elles peuvent provoquer le plantage du service HTTPS de la caméra, entraînant ainsi une situation de déni de service.
Cet impact est particulièrement significatif dans le cas d'une caméra de sécurité connectée au réseau, où une interruption des services de gestion peut empêcher les utilisateurs légitimes d'accéder à l'appareil ou de le gérer jusqu'à ce que le service concerné soit rétabli.
Scénario d'attaque
Un attaquant disposant d’un accès réseau à une caméra TP-Link Tapo C200 vulnérable pourrait exploiter la faille CVE-2026-15315 pour contourner le mécanisme d’authentification local de la caméra et établir une session d’administration valide sans connaître le mot de passe de l’utilisateur légitime. L'accès administratif ainsi obtenu permet à l'attaquant d'exécuter des fonctions de gestion privilégiées, de modifier la configuration de l'appareil et d'effectuer des opérations qui nécessiteraient normalement un accès administrateur autorisé. Cet accès peut également exposer des fonctionnalités de la caméra sensibles sur le plan de la vie privée, notamment les flux vidéo en direct et les enregistrements stockés, permettant ainsi une surveillance non autorisée des images capturées par l'appareil concerné.
Nous avons réalisé une vidéo de démonstration de principe (PoC) qui illustre l'impact sur la sécurité des failles identifiées par Khoi Tran et Thai Do dans des conditions de laboratoire contrôlées. https://opswat-1.wistia.com/s/....
Correction des vulnérabilités CVE-2026-15315 et CVE-2026-15316
Le 18 août 2026, TP-Link a publié l' avis de sécurité et a publié la version V5_1.4.6 du micrologiciel afin de corriger les vulnérabilités CVE-2026-15315 et CVE-2026-15316. Les utilisateurs et les organisations utilisant des caméras TP-Link Tapo C200 concernées doivent effectuer la mise à jour vers la dernière version du micrologiciel fournie par TP-Link afin de corriger les vulnérabilités identifiées.
Étant donné que l'exploitation d'une faille nécessite un accès réseau à la caméra concernée, la réduction de toute exposition inutile offre un niveau de protection supplémentaire. Les interfaces de gestion des caméras ne doivent pas être exposées à des réseaux non fiables, et l'accès doit être limité, dans la mesure du possible, aux appareils et aux utilisateurs autorisés. Dans les environnements professionnels, les appareils IoT et de vidéosurveillance doivent également être placés sur des réseaux correctement segmentés afin de limiter leur exposition aux systèmes sensibles et de réduire l'impact potentiel d'un appareil compromis.
Conséquences plus larges en matière de sécurité
Au-delà de ces vulnérabilités spécifiques, ces résultats soulignent l’importance d’évaluer la sécurité des appareils connectés au-delà de leurs fonctionnalités prévues. Les mécanismes d’authentification, les processus de mise en service et les interfaces de gestion des appareils peuvent présenter des failles de sécurité qui ne sont pas forcément visibles en fonctionnement normal, mais qui, si elles sont exploitées, peuvent compromettre de manière significative la confidentialité, l’intégrité et la disponibilité de l’appareil.
Une approche multicouche de la sécurité réseau permet de réduire davantage les risques liés aux appareils IoT vulnérables ou compromis. OPSWAT MetaDefender NAC Elle offre une visibilité et un contrôle d'accès pour les appareils IoT et autres appareils connectés au réseau, et prend en charge la segmentation du réseau via des listes de contrôle d'accès (ACL) et l'attribution de VLAN. Ces fonctionnalités peuvent aider les entreprises à contrôler quels appareils sont autorisés sur le réseau et à limiter leur accès aux autres ressources du réseau.
Cette recherche a été menée dans le cadre du programme de bourses d'études supérieures en cybersécurité des infrastructures critiques de l'OPSWAT , sous la supervision de l'OPSWAT , unité 515. Grâce à des recherches pratiques sur les vulnérabilités et à la divulgation responsable, l'OPSWAT continue de contribuer à l'identification et à la résolution des failles de sécurité dans les technologies utilisées dans les environnements connectés.
Les organisations souhaitant évaluer la sécurité de leurs produits, applications ou infrastructures peuvent faire appel à OPSWAT Unit 515 pour des tests d'intrusion avancés et des évaluations de sécurité destinés à identifier les vulnérabilités avant qu'elles ne puissent être exploitées.
