Wzmacniacz TP-Link TL-WA855RE V5 można z sieci lokalnej zresetować jednym żądaniem i przejąć, ustawiając własne hasło. CISA potwierdza ataki. Zaktualizuj oprogramowanie, a sprzęt bez wsparcia odłącz od sieci firmowej i wymień.
Ten alert jest dla zarządu, CTO i CFO małych i średnich firm, w których zasięg Wi-Fi poprawiają tanie wzmacniacze sygnału wpięte do gniazdek. Werdykt: jeśli w biurze, salonie lub magazynie działa TP-Link TL-WA855RE, sprawdź go dziś: zaktualizuj oprogramowanie albo odłącz od sieci z komputerami firmy i zaplanuj wymianę, bo CISA potwierdza ataki na ten model.
Amerykańska agencja CISA 2 września 2025 roku dopisała podatność CVE-2020-24363 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Wzmacniacz Wi-Fi TP-Link TL-WA855RE w wersji sprzętowej V5 przyjmuje bez żadnego uwierzytelnienia polecenie przywrócenia ustawień fabrycznych (TDDP_RESET). Osoba w tej samej sieci wysyła jedno żądanie, urządzenie się resetuje, a napastnik ustawia własne hasło administratora i przejmuje panel.
Błąd opisano publicznie 31 sierpnia 2020 roku, a na listę CISA trafił dopiero po pięciu latach. CISA zaznacza, że produkt może być poza wsparciem producenta, i zaleca zaprzestanie jego używania. Termin naprawy wg CISA minął 23 września 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2020-24363 |
Data dodania do CISA KEV | 2025-09-02 |
Termin naprawy wg CISA | 2025-09-23 (21 dni od wpisu) |
Produkt | TP-Link TL-WA855RE, wzmacniacz sygnału Wi-Fi (range extender), wersja sprzętowa V5 |
Wersje zagrożone | Wg opisu CVE: V5 20200415-rel37464. Wg tabeli wersji w NVD: wszystkie wydania oprogramowania starsze niż 200731. Warunek ataku: napastnik w tej samej sieci lokalnej |
Wersje bezpieczne | Pierwsza z poprawką: TL-WA855RE(EU)_V5_200731 (wg badacza, który zgłosił błąd). Najnowsze oprogramowanie na stronie producenta: TL-WA855RE(US)_V5.8_1.0.13 Build 231115 z listopada 2024. TP-Link: produkty po zakończeniu wsparcia nie dostają poprawek bezpieczeństwa |
Typ podatności | Brak uwierzytelnienia dla funkcji krytycznej; CWE-306 |
Ocena CVSS | NVD i CISA: 8.8 (CVSS 3.1, WYSOKA). NVD: 8.3 (CVSS 2.0). Atak z sieci sąsiedniej (lokalnej), niska złożoność, bez uprawnień i bez udziału użytkownika, pełna utrata kontroli nad urządzeniem |
Uwaga na wyszukiwanie: europejska baza EUVD ma przy tym wpisie puste pola producenta i produktu. Szukając sprzętu po nazwie marki, łatwo go przeoczyć; szukaj po numerze CVE.
Wyobraź sobie biuro, w którym szafy z dokumentami mają zamki, ale na zewnątrz drzwi, bez żadnego klucza, zamontowano przycisk „przywróć stan fabryczny”. Po jego naciśnięciu wszystkie zamki się zerują, a nowe klucze dostaje ten, kto pierwszy się po nie zgłosi. Osoba, która nacisnęła przycisk, stoi już przy drzwiach, więc zawsze jest pierwsza.
Tak działa ta luka. Wzmacniacz sygnału to mały komputer z panelem administracyjnym i hasłem. Funkcja resetu do ustawień fabrycznych nie sprawdza, kto ją wywołuje. Po resecie urządzenie czeka na ustawienie pierwszego hasła, a napastnik robi to szybciej niż właściciel. Od tej chwili kontroluje urządzenie, przez które przechodzi ruch części pracowników lub klientów.
💡 Wzmacniacz sygnału (range extender) to urządzenie, które odbiera Wi-Fi z routera i rozgłasza je dalej, by zwiększyć zasięg. Oprogramowanie układowe (firmware) to system działający wewnątrz takiego urządzenia. Sieć lokalna to sieć w budynku firmy, do której łączą się komputery, telefony i goście. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Gość w sieci Wi-Fi wysyła żądanie resetu | Urządzenie wymaga zalogowania | Urządzenie resetuje się bez pytania |
Po resecie | Tylko administrator może ustawić hasło | Hasło ustawia napastnik |
Ruch pracowników przez wzmacniacz | Przekazywany do routera | Widoczny i możliwy do przekierowania na fałszywą stronę logowania |
Sam reset bez przejęcia | Nie zdarza się | Pół biura traci zasięg, trzeba konfigurować od nowa |
Aktualizacje bezpieczeństwa | Dostarczane przez producenta | Dla sprzętu po zakończeniu wsparcia nie będzie już nowych |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie działa z dowolnego miejsca w internecie: napastnik musi być w tej samej sieci lokalnej, np. jako gość z hasłem do Wi-Fi, przez przejęty komputer w sieci lub w zasięgu sieci ze słabym hasłem. CISA ocenia, że ataku nie da się zautomatyzować w skali internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście do sieci | T+0 min | Połączenie z Wi-Fi firmy (hasło z kartki przy ladzie) lub przez przejęty komputer w sieci | Napastnik w sieci lokalnej |
2. Znalezienie urządzenia | T+1 do 5 min | Wyszukanie w sieci wzmacniacza TL-WA855RE | Znany adres celu |
3. Reset | T+5 min | Wysłanie żądania TDDP_RESET bez logowania | Urządzenie wraca do ustawień fabrycznych |
4. Przejęcie | T+5 do 10 min | Ustawienie własnego hasła administratora i konfiguracji | Pełna kontrola nad wzmacniaczem |
5. Wykorzystanie | T+godziny do tygodni | Podgląd ruchu, przekierowanie na fałszywe strony logowania, punkt wyjścia do innych urządzeń | Wykradzione hasła, dostęp do sieci |
6. Skutek dla firmy | T+dni do tygodni | Wykorzystanie haseł do poczty, systemów, bankowości | Wyciek danych, straty finansowe |
Mogę Ci jakoś pomóc?
Wzmacniacz za sto kilkadziesiąt złotych rzadko trafia na listę sprzętu IT, więc nikt go nie aktualizuje. Stoi jednak w środku sieci, a przez jego przejęcie napastnik zyskuje podgląd ruchu i punkt zaczepienia. Prognoza EPSS około 20% w ciągu miesiąca to wyżej niż 97% skatalogowanych podatności.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Utrata zasięgu Wi-Fi w części biura, ponowna konfiguracja, wymiana sprzętu | Minuty od ataku | 2 tys. do 20 tys. PLN (przestój, prace IT, nowy sprzęt) |
Bezpieczeństwo danych | Przechwycone hasła, przekierowanie na fałszywe strony, dostęp do urządzeń w sieci | Godziny do dni | 10 tys. do 100 tys. PLN (analiza incydentu, reset haseł) |
Finansowy | Oszustwa z użyciem przejętych kont, koszty specjalistów | Dni do tygodni | 10 tys. do 200 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów korzystających z Wi-Fi firmy | Miesiące | 10 tys. do 100 tys. PLN (utracone zlecenia) |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 5 tys. do 60 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z TL-WA855RE V5 bez poprawki
w sieci, do której mają dostęp goście
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . . ■ . ← ŚREDNIE / WYSOKIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie tam, gdzie hasło do Wi-Fi znają goście, a CISA potwierdza ataki; wpływ jest średni, bo samo przejęcie dotyczy jednego wzmacniacza, a szkody zależą od tego, czy urządzenie jest w tej samej sieci co komputery i dane firmy.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy w firmie działają wzmacniacze TP-Link TL-WA855RE i jaka jest ich wersja sprzętowa oraz oprogramowania | Dziś | Administrator IT / osoba odpowiedzialna za sieć |
2 | 🔴 NATYCHMIAST | Jeśli oprogramowanie jest starsze niż 200731: zaktualizować do najnowszego ze strony producenta albo odłączyć urządzenie | Dziś | Administrator IT |
3 | 🟠 PILNIE | Rozdzielić sieć gościnną od sieci z komputerami, kasą i księgowością; wzmacniacz podłączyć tylko do jednej z nich | Do 7 dni | Administrator IT / partner IT |
4 | 🟠 PILNIE | Zmienić hasło do Wi-Fi firmowego, jeśli było rozdawane gościom | Do 3 dni | Administrator IT |
5 | 🟠 PILNIE | Sprawdzić, czy hasło administratora wzmacniacza nie zostało zmienione przez kogoś obcego (brak możliwości zalogowania to sygnał alarmowy) | Do 3 dni | Administrator IT |
6 | 🟡 WAŻNIE | Zaplanować wymianę wzmacniaczy na wspierane urządzenia klasy biznesowej | Do 30 dni | CTO / CFO |
7 | 🟡 WAŻNIE | Spisać wszystkie urządzenia wpięte do sieci: wzmacniacze, drukarki, kamery, rejestratory; raz na kwartał sprawdzać je na liście KEV | Do 30 dni | CTO |
Poprawka w oprogramowaniu V5_200731 jest dostępna od 2020 roku, a na stronie producenta jest nowsze oprogramowanie z listopada 2024. TP-Link i CISA zaznaczają jednak, że sprzęt po zakończeniu wsparcia nie dostaje poprawek bezpieczeństwa i należy go wymienić. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wymiana wzmacniacza na wspierany model (zalecenie CISA i producenta) | Wysoka, docelowe rozwiązanie | Łatwa, koszt niższy niż dzień przestoju |
Podłączenie wzmacniacza wyłącznie do sieci gościnnej odseparowanej od komputerów firmy | Średnia do wysokiej: ogranicza skutki przejęcia | Średnia |
Hasło do Wi-Fi firmowego znane tylko pracownikom, osobna sieć dla gości | Średnia: utrudnia wejście do sieci lokalnej | Łatwa |
Odłączenie wzmacniacza do czasu wymiany | Wysoka, kosztem zasięgu | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wzmacniacz Wi-Fi | Stare oprogramowanie, reset bez hasła | Zaktualizowany lub wymieniony na wspierany |
Sieć gościnna | Wspólna z komputerami firmy | Odseparowana |
Hasło do Wi-Fi | Na kartce przy ladzie | Znane tylko pracownikom, goście w osobnej sieci |
Spis urządzeń sieciowych | Brak | Lista z kwartalnym przeglądem KEV |
Zgodność z wymogami | Zaległość wobec terminu CISA sprzed prawie roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA: wykorzystanie aktywne, atak nieautomatyzowalny, skutek techniczny całkowity |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg NVD i CISA (CVSS 3.1); 8.3 wg NVD (CVSS 2.0) |
PoC dostępny publicznie? | Brak gotowego kodu w źródłach; publiczny od 2020 roku opis badacza (malwrforensics) wystarcza do odtworzenia ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Ok. 20% szansy próby wykorzystania w 30 dni, wyżej niż 97% skatalogowanych podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2020-24363
CVSS 3.1 (NVD, CISA) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~20% ████░░░░░░░░░░░░░░░░ percentyl 97+
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) NIE ░░░░░░░░░░░░░░░░░░░░ wymaga obecności w sieci
Wsparcie producenta BRAK ░░░░░░░░░░░░░░░░░░░░ zalecana wymiana
Mogę Ci jakoś pomóc?
2020-04-15 Wydanie oprogramowania V5 20200415, w którym opisano błąd
2020-07-31 Wydanie V5_200731 z poprawką (wg badacza)
2020-08-31 Publikacja CVE-2020-24363 i opisu badacza
2024-11-04 Najnowsze oprogramowanie V5.8_1.0.13 Build 231115
2025-09-02 CISA dodaje lukę do katalogu KEV
2025-09-23 Termin naprawy wg CISA
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Strona pobierania oprogramowania i FAQ producenta: tp-link.com/us/support/download/tl-wa855re . Karta produktu: TP-Link TL-WA855RE . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2020-24363 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić sprawdzenie, czy w firmie są wzmacniacze TP-Link TL-WA855RE | CTO | DZISIAJ |
2 | Zatwierdzić odłączenie lub aktualizację znalezionych urządzeń | CTO | DZISIAJ |
3 | Zlecić zmianę hasła do Wi-Fi, jeśli znają je goście | CTO | DO JUTRA |
4 | Zatwierdzić wydzielenie sieci gościnnej | CTO | DO JUTRA |
5 | Zatwierdzić zakup wspieranych urządzeń w miejsce starych wzmacniaczy | CFO | DO JUTRA |
6 | Wprowadzić zasadę, że sprzęt sieciowy kupuje lub zatwierdza IT | CFO | DO JUTRA |
7 | Wyznaczyć osobę odpowiedzialną za kwartalny przegląd listy KEV pod kątem sprzętu firmy | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy w którejkolwiek lokalizacji działa TP-Link TL-WA855RE? | TAK / NIE, liczba: [ ] | 🔴 |
2 | Jaka jest wersja sprzętowa i wersja oprogramowania tych urządzeń? | [wersja] | 🔴 |
3 | Czy wzmacniacz jest w tej samej sieci co komputery, kasa i księgowość? | TAK / NIE | 🔴 |
4 | Czy goście znają hasło do sieci firmowej? | TAK / NIE | 🟠 |
5 | Czy mamy odseparowaną sieć gościnną? | TAK / NIE | 🟠 |
6 | Czy mamy spis wszystkich urządzeń wpiętych do sieci, w tym drukarek i kamer? | TAK / NIE | 🟠 |
7 | Kiedy wymienimy sprzęt sieciowy, który nie dostaje już poprawek? | [data] | 🟡 |
CVE-2020-24363 pozwala osobie w sieci lokalnej zresetować i przejąć wzmacniacz Wi-Fi TP-Link TL-WA855RE V5, a CISA potwierdziła ataki pięć lat po opisaniu błędu. Poprawka w oprogramowaniu istnieje od 2020 roku, ale sprzęt po zakończeniu wsparcia należy wymienić, więc zadanie na dziś to znaleźć takie urządzenia, zaktualizować je lub odłączyć, a w tym tygodniu oddzielić sieć gości od sieci z danymi firmy.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.