Stare routery TP-Link TL-WR940N, TL-WR841N i TL-WR740N mają lukę pozwalającą przejąć urządzenie przez panel. CISA potwierdza ataki i zaleca wycofanie sprzętu. Zmień hasło panelu dziś i zaplanuj wymianę routera.
Ten alert jest dla właścicieli i zarządów małych firm, biur, gabinetów i sklepów, w których internet dostarcza stary domowy router TP-Link. Werdykt: jeśli w firmie działa TL-WR940N (V2, V4), TL-WR841N (V8, V10) lub TL-WR740N (V1, V2), wymień go, bo luka jest wykorzystywana w atakach, a producent nie wskazał poprawki; do czasu wymiany natychmiast zmień hasło panelu i wyłącz zarządzanie z internetu.
Amerykańska agencja CISA 16 czerwca 2025 roku dopisała podatność CVE-2023-33538 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Luka dotyczy trzech popularnych, tanich routerów TP-Link w konkretnych wersjach sprzętowych.
Błąd siedzi w formularzu ustawień sieci bezprzewodowej w panelu routera. Osoba zalogowana do panelu może dopisać do wpisywanej wartości dodatkowe polecenie, które router wykona. Skutek to pełne przejęcie urządzenia, przez które przechodzi cały ruch firmy: terminal płatniczy, komputery, bankowość.
Wpis CISA jest nietypowy: zamiast numeru poprawki zawiera ostrzeżenie, że urządzenia mogą być po zakończeniu wsparcia, i zalecenie zaprzestania ich używania. Termin naprawy minął 7 lipca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2023-33538 |
Data dodania do CISA KEV | 2025-06-16 |
Termin naprawy wg CISA | 2025-07-07 (21 dni od wpisu) |
Produkt | TP-Link, routery bezprzewodowe TL-WR940N, TL-WR841N i TL-WR740N |
Wersje zagrożone | TL-WR940N w wersjach sprzętowych V2 i V4, TL-WR841N V8 i V10, TL-WR740N V1 i V2. NVD nie podaje przedziału wersji oprogramowania, więc podatne jest każde oprogramowanie tych wersji sprzętowych. Warunek ataku: dostęp do panelu routera z zalogowaniem (niskie uprawnienia) |
Wersje bezpieczne | Brak: producent nie podał wersji oprogramowania z poprawką, a CISA zaleca zaprzestanie używania. Na liście produktów wycofanych TP-Link widnieją m.in. TL-WR940N V4 i TL-WR841N V10. Rozwiązaniem jest wymiana na wspierany router |
Typ podatności | Wstrzyknięcie polecenia przez komponent /userRpm/WlanNetworkRpm; CWE-77 |
Ocena CVSS | NVD i CISA: 8.8 (CVSS 3.1, WYSOKA), atak przez sieć, niska złożoność, wymagane niskie uprawnienia, bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność |
Wyobraź sobie portiera, który zapisuje w zeszycie polecenia od najemców i wykonuje je dosłownie. Najemca pisze: „Zmień nazwę na skrzynce na Kowalski”. Ktoś inny, kto zna kod do dyżurki, pisze: „Zmień nazwę na Kowalski; oddaj mi klucze do wszystkich biur”. Portier nie odróżnia nazwy od nowego polecenia, więc wykonuje oba.
Tak działa ten błąd. Panel routera wygląda jak zwykła strona z formularzami, ale wpisana nazwa sieci czy inne ustawienie trafia do systemu routera jako część polecenia. Znak kończący polecenie i dopisany po nim tekst sprawiają, że router wykonuje instrukcję napastnika. Router to urządzenie, przez które przechodzi cały ruch firmy, więc jego przejęcie pozwala na przykład podmienić adresy stron i pokazać fałszywą stronę banku bez dotykania żadnego komputera.
💡 Wersja sprzętowa (np. V4) to oznaczenie wydania urządzenia, wybite drobnym drukiem na naklejce pod obudową obok numeru seryjnego; ten sam model w innej wersji może nie być podatny. Wstrzyknięcie polecenia to sytuacja, w której wpisane dane zostają wykonane jako rozkaz. Koniec wsparcia (EoL) oznacza, że producent nie wydaje już poprawek. DNS to spis tłumaczący nazwy stron na adresy serwerów.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Zmiana nazwy sieci Wi-Fi w panelu | Router zapisuje nową nazwę | Router może wykonać dopisane polecenie |
Ktoś zna hasło do panelu ustawione przy montażu | Może zmienić ustawienia sieci | Może przejąć router i zainstalować na nim własny program |
Pracownik otwiera stronę banku | Trafia na prawdziwą stronę | Przejęty router może skierować go na fałszywą stronę |
Panel zarządzania dostępny z internetu | Ryzyko zgadywania hasła | Automatyczne próby ataku z całego świata |
Aktualizacja oprogramowania | Łata błędy | Producent nie wskazał poprawki, pozostaje wymiana |
źródło: Pexels, Brett SaylesPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga zalogowania do panelu routera, ale w małych firmach hasło często jest fabryczne albo ustawione raz przy montażu i powtarzane w wielu lokalizacjach. CISA ocenia, że atak da się zautomatyzować, więc router nie musi być wybranym celem: wystarczy, że odpowie skanerowi.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie w internecie paneli starych routerów TP-Link albo działanie z sieci Wi-Fi dla gości | Lista urządzeń do sprawdzenia |
2. Logowanie | T+kilka minut | Próba haseł fabrycznych i popularnych lub użycie hasła zdobytego wcześniej | Dostęp do panelu routera |
3. Wstrzyknięcie | T+kilka minut | Wysłanie formularza ustawień Wi-Fi z dopisanym poleceniem | Kod napastnika działa na routerze |
4. Utrwalenie | T+kilkanaście minut | Instalacja złośliwego programu, dołączenie routera do sieci zainfekowanych urządzeń (botnetu) | Router pod stałą kontrolą |
5. Wykorzystanie | T+godziny do dni | Podmiana DNS, podsłuch ruchu, ataki na komputery w sieci firmy lub na inne cele | Wyłudzenia, kradzież danych, ruch ataków z adresu firmy |
6. Skutek | T+dni do tygodni | Nieautoryzowane przelewy, blokady adresu firmy, przestoje internetu | Straty finansowe i przestój |
Mogę Ci jakoś pomóc?
Router jest w małej firmie jedynym strażnikiem między internetem a komputerami, terminalem płatniczym i telefonami. Nikt go nie aktualizuje, a skoro świeci, uznaje się, że działa. Przy tej luce nie ma poprawki do zainstalowania, więc ryzyko nie zniknie samo.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Brak lub spowolnienie internetu, niedziałające płatności i poczta | Godziny do dni | 5 tys. do 50 tys. PLN (przestój, wezwanie serwisu, nowy sprzęt) |
Bezpieczeństwo danych | Podsłuch ruchu, przechwycenie haseł, dostęp do komputerów w sieci | Dni | 10 tys. do 100 tys. PLN (analiza, zmiana haseł, obsługa incydentu) |
Finansowy | Nieautoryzowane przelewy po podmianie strony banku | Dni do tygodni | 10 tys. do 300 tys. PLN, zależnie od salda i limitów |
Reputacyjny | Ataki wychodzące z adresu firmy, blokady poczty, utrata zaufania klientów | Tygodnie | 10 tys. do 150 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 5 tys. do 60 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z podatnym routerem TP-Link
(hasło panelu niezmienione, zarządzanie z internetu)
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie (atak automatyzowalny, brak poprawki, EPSS około 42%), a wpływ wysoki, bo przejęty router kontroluje cały ruch małej firmy; zmiana hasła i wyłączenie zarządzania z internetu obniża prawdopodobieństwo, ale dopiero wymiana usuwa lukę.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie routery i punkty dostępowe w firmie, odczytać model i wersję sprzętową z naklejki | Dziś | Kierownik biura / informatyk |
2 | 🔴 NATYCHMIAST | Na podatnych routerach zmienić hasło panelu na unikalne i wyłączyć zarządzanie z internetu (zdalne zarządzanie) | Dziś | Informatyk / serwis |
3 | 🔴 NATYCHMIAST | Zamówić wymianę podatnych routerów na modele wspierane przez producenta | Dziś | Właściciel / CFO |
4 | 🟠 PILNIE | Sprawdzić ustawienia DNS w routerze i porównać z ustawieniami od dostawcy internetu | Do 3 dni | Informatyk |
5 | 🟠 PILNIE | Zamontować nowy router, przenieść ustawienia, stary odłączyć i zutylizować | Do 7 dni | Informatyk / dostawca internetu |
6 | 🟡 WAŻNIE | Oddzielić sieć Wi-Fi dla gości od sieci firmowej i terminala płatniczego | Do 30 dni | Informatyk |
7 | 🟡 WAŻNIE | Wprowadzić spis urządzeń sieciowych z datą zakupu i końca wsparcia producenta | Do 30 dni | Właściciel / kierownik biura |
W tym przypadku to sytuacja domyślna: producent nie wskazał poprawki, a CISA zaleca zaprzestanie używania. Poniższe miary tylko zmniejszają ryzyko do dnia wymiany. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wymiana routera na wspierany model | Wysoka: usuwa lukę | Łatwa do średniej, koszt jednego zakupu biurowego |
Silne, unikalne hasło do panelu routera | Średnia do wysokiej: atak wymaga zalogowania | Łatwa |
Wyłączenie zarządzania routerem z internetu | Średnia do wysokiej: panel dostępny tylko z sieci wewnętrznej | Łatwa |
Wyłączenie Wi-Fi dla gości na podatnym routerze | Średnia: zmniejsza liczbę osób w sieci wewnętrznej | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Router | Stary TP-Link bez wsparcia i bez poprawki | Wspierany model z aktualnym oprogramowaniem |
Hasło panelu | Fabryczne lub z montażu, powtarzane | Unikalne, zapisane w menedżerze haseł |
Zarządzanie z internetu | Często włączone „na wszelki wypadek” | Wyłączone |
Sieć gości | Wspólna z komputerami i terminalem | Oddzielona |
Wiedza o sprzęcie | Nikt nie wie, co wisi na ścianie | Spis urządzeń z datami końca wsparcia |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA ocenia atak jako możliwy do zautomatyzowania, ze skutkiem całkowitym |
Grupy przestępcze | Brak potwierdzonych publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, NVD i CISA) |
PoC dostępny publicznie? | TAK: opis techniczny z przykładem ataku opublikowany w 2023 roku; oryginał w repozytorium jest niedostępny, kopia archiwalna z czerwca 2023 pozostaje dostępna |
Liczba atakowanych firm | Brak publicznych informacji |
Poprawka producenta | Brak wskazanej poprawki, zalecenie wycofania urządzeń |
Prognoza EPSS | Około 42% szansy próby wykorzystania w ciągu 30 dni, w górnych 2% wszystkich podatności (wg analizy źródłowej) |
Jedna ocena CVSS jest zgodna we wszystkich źródłach, a pozostałe sygnały potwierdzają, że stare routery są łatwym i masowym celem:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2023-33538
CVSS 3.1 (NVD, CISA) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~42% ████████░░░░░░░░░░░░ górne 2% luk
Atak automatyzowalny TAK ████████████████████ ocena CISA
CISA KEV TAK ████████████████████ ataki potwierdzone
Poprawka producenta BRAK ░░░░░░░░░░░░░░░░░░░░ tylko wymiana 2023-05-22 Ostatnia aktualizacja listy produktów wycofanych na stronie TP-Link
2023-06-07 Publikacja CVE-2023-33538 w NVD z opisem technicznym ataku
2023-06-09 Archiwalna kopia opisu technicznego (oryginał później niedostępny)
2025-06-16 CISA dodaje lukę do katalogu KEV z zaleceniem wycofania sprzętu
2025-07-07 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 14 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Lista produktów wycofanych przez producenta: tp-link.com/nordic/support/faq/3562 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2023-33538 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Sprawdzić, jakie routery działają we wszystkich lokalizacjach firmy (model i wersja z naklejki) | CTO / kierownik biura | DZISIAJ |
2 | Zlecić zmianę hasła panelu i wyłączenie zarządzania z internetu na podatnych urządzeniach | CTO | DZISIAJ |
3 | Zatwierdzić zakup nowych routerów dla lokalizacji z podatnym sprzętem | CFO | DZISIAJ |
4 | Ustalić termin montażu z informatykiem lub dostawcą internetu | CTO | DO JUTRA |
5 | Sprawdzić historię rachunków bankowych pod kątem nieznanych przelewów | CFO | DO JUTRA |
6 | Sprawdzić, czy dostawca internetu nie dostarczył podatnego routera w ramach umowy | CFO | DO JUTRA |
7 | Dodać do budżetu cykliczną wymianę sprzętu sieciowego po końcu wsparcia | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy w którejś lokalizacji działa TL-WR940N, TL-WR841N lub TL-WR740N? | TAK / NIE | 🔴 |
2 | Jaka jest wersja sprzętowa każdego z tych routerów? | [wersja z naklejki] | 🔴 |
3 | Czy panel routera jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Kiedy ostatnio zmieniono hasło do panelu i czy jest inne w każdej lokalizacji? | [data], TAK / NIE | 🟠 |
5 | Czy ustawienia DNS w routerze są zgodne z ustawieniami dostawcy internetu? | TAK / NIE | 🟠 |
6 | Kiedy zostanie zamontowany nowy router? | [data] | 🟠 |
7 | Czy sieć Wi-Fi dla gości jest oddzielona od komputerów i terminala płatniczego? | TAK / NIE | 🟡 |
CVE-2023-33538 pozwala osobie zalogowanej do panelu starego routera TP-Link (TL-WR940N, TL-WR841N, TL-WR740N w wymienionych wersjach) przejąć urządzenie, przez które przechodzi cały ruch firmy. CISA potwierdza ataki, a producent nie wskazał poprawki, więc zmiana hasła i wyłączenie zarządzania z internetu to zadanie na dziś, a wymiana routera to zadanie na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.