Błąd w routerze TP-Link TL-WR841N i kilkudziesięciu starszych modelach pozwala osobie w sieci wyciągnąć zapisane hasła. CISA potwierdza ataki, a dla większości modeli poprawki nie będzie. Sprawdź DNS i wymień router.
Ten alert jest dla zarządu, CTO i CFO małych firm, w których sieć biurową obsługuje tani router TP-Link, np. TL-WR841N, często przyniesiony z domu lub od operatora. Werdykt: jeśli masz TL-WR841N lub inny starszy model z listy producenta, sprawdź dziś ustawienia serwera DNS i zaplanuj wymianę routera na wspierany model, bo luka jest wykorzystywana w atakach, a dla większości modeli poprawki nie ma i nie będzie.
Amerykańska agencja CISA 3 września 2025 roku dopisała podatność CVE-2023-50224 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Zamiast wskazać numer poprawki, CISA zaznaczyła, że produkt może być po zakończeniu wsparcia i zaleca zaprzestanie jego używania. Termin naprawy minął 24 września 2025 roku.
Błąd siedzi w usłudze strony zarządzania routerem (port 80). Osoba w tej samej sieci, bez logowania, może wyciągnąć zapisane w routerze hasła, a potem przejąć urządzenie. TP-Link w komunikacie zaktualizowanym 12 maja 2026 roku wymienia kilkadziesiąt starszych modeli routerów i punktów dostępowych, pisze o publicznych doniesieniach i informacjach organów ścigania o wykorzystaniu luki, m.in. w kampaniach podmieniających ustawienia DNS. Większość wymienionych modeli pozostaje bez poprawki.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2023-50224 (ZDI-23-1808) |
Data dodania do CISA KEV | 2025-09-03 |
Termin naprawy wg CISA | 2025-09-24 (21 dni od wpisu) |
Produkt | TP-Link TL-WR841N; według komunikatu producenta także wiele innych starszych modeli: m.in. TL-WR740N, TL-WR741ND, TL-WR840N, TL-WR940N, TL-WR941ND, TL-WR1043ND, TL-MR3420, Archer C5, Archer C7, Archer C1900, punkty dostępowe TL-WA801ND i TL-WA901ND |
Wersje zagrożone | TL-WR841N w wersjach sprzętowych V8 do V12 (wg producenta „częściowo załatane”). NVD: oprogramowanie V11 przed 211209 i V12 przed 230317. Dla wielu innych modeli producent podaje status „Unpatched” (brak poprawki). Atak wymaga dostępu do tej samej sieci lokalnej |
Wersje bezpieczne | TL-WR841N: EU_V11_211209, US V11 (260415), EU_V12_230317; dla V8 do V10 producent nie podaje poprawki. Inne modele: zgodnie z tabelą w komunikacie TP-Link. Producent zaleca przede wszystkim przejście na wspierany sprzęt; aktualizacje trzeba instalować ręcznie |
Typ podatności | Obejście uwierzytelnienia przez podszycie, ujawnienie zapisanych poświadczeń; CWE-290 |
Ocena CVSS | 6.5 ŚREDNIA (CVSS 3.1, Zero Day Initiative; TP-Link podaje tę samą wartość w CVSS 3.0). NVD nie wystawił własnej oceny. Atak z sieci lokalnej, bez logowania i bez udziału użytkownika; wysoki wpływ na poufność |
Wyobraź sobie szeregowiec, w którym wszyscy lokatorzy mają wspólną skrzynkę na klucze w korytarzu. Skrzynka ma zamek, ale każdy, kto stoi w korytarzu, może ją otworzyć, jeśli wie, jak nacisnąć klapkę. Obcy z ulicy nie wejdzie do korytarza, więc wydaje się, że nic nie grozi. Wystarczy jednak, że ktoś wpuścił kuriera, gościa albo że jeden lokator zostawił otwarte okno.
Tak jest z tym routerem. Atak nie działa z drugiego końca świata, tylko z tej samej sieci. A w sieci małego biura są telefony wszystkich pracowników, laptop księgowej zewnętrznej, sieć dla gości (często wpięta w tę samą podsieć), kamera i drukarka, których nikt nigdy nie aktualizował. Wystarczy przejąć jedno z tych urządzeń, by stać się „sąsiadem” routera. Z routera napastnik wyciąga zapisane hasła, a często hasło administratora routera jest takie samo jak do Wi-Fi albo do komputera szefa.
💡 Router to urządzenie, przez które cały ruch biura trafia do internetu. DNS to „książka telefoniczna internetu” zamieniająca nazwy stron na adresy; podmiana DNS w routerze może kierować pracowników na fałszywą stronę banku. Sąsiedztwo sieciowe oznacza, że napastnik musi być w tej samej sieci lokalnej. EoL (End of Life) to status sprzętu, dla którego producent zakończył wsparcie.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Gość łączy się z Wi-Fi biura | Korzysta z internetu | Może odczytać zapisane w routerze hasła, jeśli sieć gości nie jest oddzielona |
Atak z internetu | Niemożliwy, jeśli panel nie jest wystawiony | Nadal niemożliwy bez dostępu do sieci lokalnej |
Ustawienia DNS routera | Ustawione przez operatora lub IT | Mogą zostać podmienione, np. by fałszować stronę banku |
Hasła użyte ponownie w firmie | Znane tylko pracownikom | Napastnik poznaje wzór haseł firmy |
Router po zakończeniu wsparcia | Działa normalnie | Działa normalnie, ale błąd nie zostanie usunięty |
źródło: https://unsplash.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, dopasowany do tego, że luka wymaga dostępu do sieci lokalnej. CISA ocenia, że wykorzystania nie da się zautomatyzować, a wpływ techniczny jest częściowy; TP-Link wspomina o kampaniach obejmujących manipulację DNS.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście do sieci | T-dni | Przejęcie urządzenia w sieci biura (kamera, drukarka, telefon) lub połączenie z niezabezpieczoną siecią gości | Napastnik jest „sąsiadem” routera |
2. Odczyt poświadczeń | T+0 min | Zapytanie do usługi zarządzania routera na porcie 80 wykorzystujące błąd | Zapisane hasła routera w rękach napastnika |
3. Przejęcie routera | T+kilka minut | Zalogowanie się do panelu zdobytym hasłem | Pełna kontrola nad routerem |
4. Podmiana DNS | T+kilkanaście minut | Zmiana serwerów DNS na kontrolowane przez napastnika | Pracownicy trafiają na fałszywe strony |
5. Kradzież danych | T+godziny do dni | Fałszywa strona logowania do banku lub poczty zbiera hasła | Przejęte konta |
6. Oszustwo | T+dni | Przelewy z przejętych kont, dalsze ataki z użyciem zdobytych haseł | Straty finansowe |
Tani router przechodzi przez cały ruch biura, a zwykle nikt nie pamięta, że stoi za szafką. Luka nie zatrzymuje pracy, więc nikt niczego nie zauważy, dopóki nie pojawią się skutki. Dla większości starszych modeli poprawki nie ma, a producent wprost zaleca wymianę sprzętu.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana routera, zmiana wszystkich haseł, sprawdzenie urządzeń w sieci | Godziny do dni | 2 tys. do 20 tys. PLN (sprzęt i praca IT) |
Bezpieczeństwo danych | Wyciek haseł, przechwycenie logowań przez fałszywe strony | Dni | 10 tys. do 100 tys. PLN (analiza, wymiana haseł) |
Finansowy | Nieautoryzowane przelewy po przejęciu bankowości | Dni do tygodni | 20 tys. do 500 tys. PLN (zależnie od salda i limitów) |
Reputacyjny | Klienci pytają, czy ich dane są bezpieczne | Tygodnie | 10 tys. do 150 tys. PLN (utraceni klienci) |
Prawny | Przy wycieku danych osobowych obowiązek zgłoszenia do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla biura z podatnym routerem TP-Link
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . ■ . . ← ŚREDNIE / WYSOKIE: sieć gości
2 | . ■ . . . połączona z firmową (środek)
1 | . . . . . ← NISKIE / ŚREDNIE: sieć zamknięta,
+-------------------- silne i unikalne hasła (lewo)
1 2 3 4 5 Prawdopodobieństwo Interpretacja: CVSS 6.5 i wymóg dostępu do sieci lokalnej obniżają ocenę, ale potwierdzone ataki z podmianą DNS, brak poprawek dla wielu modeli i typowy dla małych biur brak oddzielenia sieci gości sprawiają, że ryzyko nie jest pomijalne.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać routery i punkty dostępowe TP-Link w firmie: model i wersja sprzętowa (naklejka pod spodem) | Dziś | Administrator IT / osoba odpowiedzialna za biuro |
2 | 🔴 NATYCHMIAST | Sprawdzić w panelu routera, czy serwery DNS są takie, jakie ustawił operator lub IT | Dziś | Administrator IT |
3 | 🔴 NATYCHMIAST | Wyłączyć zarządzanie zdalne i zmienić hasło administratora na unikalne, inne niż do Wi-Fi | Dziś | Administrator IT |
4 | 🟠 PILNIE | Jeśli model ma poprawkę w komunikacie TP-Link, zainstalować ją ręcznie | Do 3 dni | Administrator IT |
5 | 🟠 PILNIE | Jeśli model jest bez poprawki: kupić i zainstalować wspierany router | Do 7 dni | CFO / administrator IT |
6 | 🟠 PILNIE | Oddzielić sieć gości od sieci firmowej | Do 7 dni | Administrator IT |
7 | 🟡 WAŻNIE | Zmienić hasła, które mogły być zapisane w routerze lub używane w nim ponownie (Wi-Fi, konta operatora, komputery) | Do 7 dni | Administrator IT |
8 | 🟡 WAŻNIE | Wprowadzić zasadę: sprzęt sieciowy tylko z aktualnym wsparciem producenta, z datą końca wsparcia w ewidencji | Do 30 dni | CTO / CFO |
Dla wielu modeli producent nie wyda poprawki z powodu ograniczeń sprzętowych i wieku platformy. TP-Link zaleca wymianę na wspierany sprzęt, a jeśli to niemożliwe od razu, poniższe kroki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wymiana na wspierany router (zalecenie producenta i CISA) | Wysoka: usuwa problem | Łatwa, koszt zwykle kilkaset złotych |
Wyłączenie zarządzania zdalnego i zbędnych usług (zalecenie producenta) | Średnia: nie usuwa ataku z sieci lokalnej | Łatwa |
Dostęp do routera tylko z zaufanej sieci wewnętrznej, oddzielna sieć gości (zalecenie producenta) | Średnia: zawęża krąg „sąsiadów” | Średnia |
Reset do ustawień fabrycznych i ponowna konfiguracja | Niska jako ochrona, usuwa ewentualne zmiany napastnika (np. DNS) | Łatwa |
Monitorowanie nietypowego DNS i zmian konfiguracji (zalecenie producenta) | Niska jako ochrona, pomaga wykryć atak | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Router | Stary model bez wsparcia, „za szafką” | Wspierany model w ewidencji |
Ustawienia DNS | Niesprawdzone | Zweryfikowane |
Hasło administratora routera | Takie jak do Wi-Fi | Unikalne, w menedżerze haseł |
Sieć gości | Wspólna z firmową | Oddzielona |
Zarządzanie zdalne | Często włączone | Wyłączone |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). TP-Link powołuje się na publiczne doniesienia i informacje organów ścigania, w tym o kampaniach z manipulacją DNS. SSVC CISA: wykorzystanie aktywne, atak nieautomatyzowalny, wpływ częściowy |
Grupy przestępcze | Brak publicznych informacji o nazwach grup w źródłach |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 6.5 ŚREDNIA (ZDI, CVSS 3.1; TP-Link, CVSS 3.0) |
PoC dostępny publicznie? | Brak publicznych informacji w źródłach |
Liczba atakowanych firm | Brak publicznych informacji |
Status wsparcia | Według TP-Link wszystkie objęte modele poza TL-WR940N v6 są po zakończeniu życia (EOL); żaden nie ma automatycznych aktualizacji |
Prognoza EPSS | Około 17% (24 sierpnia 2026), wyżej niż 96% znanych podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2023-50224
CVSS 3.1 (ZDI) 6.5/10 █████████████░░░░░░░ ŚREDNIA
EPSS (sierpień 2026) ~17% ███░░░░░░░░░░░░░░░░░ powyżej 96% luk
Poprawki producenta CZĘŚCIOWE ██████░░░░░░░░░░░░░░ większość modeli bez
CISA KEV TAK ████████████████████ ataki potwierdzone 2023 Zgłoszenie przez Zero Day Initiative (ZDI-23-1808)
2023-03-22 TP-Link publikuje oprogramowanie TL-WR841N(EU)_V12_230317
2024-05-03 Publikacja CVE-2023-50224 w NVD
2025-09-03 CISA dodaje lukę do katalogu KEV z zaleceniem wycofania sprzętu
2025-09-24 Termin naprawy wg CISA dla agencji federalnych
2026-05-12 TP-Link aktualizuje komunikat: kilkadziesiąt modeli, większość bez poprawki
2026-09-03 NVD aktualizuje listę modeli i wersji
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta z listą modeli i poprawek: TP-Link, Security Advisory for CVE-2023-50224 . Zasady wsparcia starszych produktów wskazane przez CISA: TP-Link FAQ 4308 . Oprogramowanie TL-WR841N V12: centrum pobierania TP-Link . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2023-50224 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, jaki router i punkty dostępowe działają w każdym biurze firmy | CTO | DZISIAJ |
2 | Uzyskać potwierdzenie, że DNS w routerze nie został zmieniony | CTO | DZISIAJ |
3 | Zatwierdzić zakup wspieranego routera dla lokalizacji z modelem bez poprawki | CFO | DZISIAJ |
4 | Zlecić oddzielenie sieci gości od sieci firmowej | CTO | DO JUTRA |
5 | Sprawdzić historię rachunków bankowych pod kątem nietypowych przelewów | CFO | DO JUTRA |
6 | Zlecić zmianę haseł, które mogły być zapisane lub powtórzone w routerze | CTO | DO JUTRA |
7 | Dopisać sprzęt sieciowy do ewidencji z datą końca wsparcia producenta | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaki model i wersję sprzętową ma router w każdym biurze? | [model], [wersja] | 🔴 |
2 | Czy ten model jest na liście w komunikacie TP-Link i jaki ma status poprawki? | [Patched / Partially / Unpatched] | 🔴 |
3 | Czy serwery DNS w routerze są zgodne z ustawieniami operatora lub IT? | TAK / NIE | 🔴 |
4 | Czy zarządzanie zdalne routera jest wyłączone? | TAK / NIE | 🟠 |
5 | Czy hasło administratora routera jest unikalne? | TAK / NIE | 🟠 |
6 | Czy sieć gości jest oddzielona od sieci firmowej? | TAK / NIE | 🟠 |
7 | Kiedy producent wydał ostatnie oprogramowanie dla naszego routera? | [data] | 🟡 |
CVE-2023-50224 pozwala osobie w tej samej sieci wyciągnąć hasła z routerów TP-Link TL-WR841N i kilkudziesięciu innych starszych modeli, a następnie np. podmienić DNS i kierować pracowników na fałszywe strony. CISA potwierdza ataki, a producent pisze, że większość modeli jest po zakończeniu życia i nie dostanie poprawki. Zadanie na dziś: sprawdzić model routera i ustawienia DNS, a w tym tygodniu wymienić sprzęt bez wsparcia.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.