TP-Link Omada: 15 Schwachstellen im Zero-Touch-Provisioning ermöglichen Netzwerk-Übernahme

Ein Netzwerkadministrator, der 150 Access Points per Zero-Touch-Provisioning (ZTP) einrichtet, spart sich handbuchweise Konfiguration. Doch genau dieses Feature ist jetzt zur Sicherheitslücke geworden. Forescout Vedere Labs hat 15 Schwachstellen in TP-Link Omada offengelegt, die als Angriffskette zusammengefasst einem Angreifer die vollständige Übernahme des Netzwerks ermöglichen. Und das, ohne je Zugang zum Zielnetzwerk gehabt zu haben.

Die Forscher haben den Angriff im Juni 2025 an TP-Link gemeldet und veröffentlichten die Ergebnisse nach 426 Tagen Verantwortungsdiskurs am 05. August 2026. Die Kette reicht von vorhersagbaren Seriennummern über ungesicherte Anmeldeinformationen bis hin zu einem VPN-Tunnel ins Interne.

Was ist passiert?

Zero-Touch-Provisioning ermöglicht es, NetzwerkGeräte ohne manuelle Konfiguration in Betrieb zu nehmen. Ein neues Gerät meldet sich beim Controller, erhält seine Einstellungen, Anmeldeinformationen und Firmware. In Omada kann dieser Controller ein Cloud-Dienst, ein kleines Gerät oder eine Software auf einer virtuellen Maschine sein.

Das Problem: Der gesamte Prozess basiert auf Schwachstellen, die sich ausnutzen lassen:

1. Seriennummern sind vorhersagbar: TP-Link druckt die Seriennummer auf die Verpackung und ein Etikett. Die Nummern laufen sequenziell. Durch Batch-Anfragen an die Cloud-API lassen sich MAC-Adressen von Geräten abrufen, die noch nicht von einem Controller übernommen wurden.
2. Factory-Credentials: Ein neues Gerät signiert die Authentifizierung mit den Werkseinstellungen admin/admin. Der Angreifer kann dasselbe tun.
3. Passwort als MD5-Hash ohne Salt: Die Site-Konfiguration enthält den Benutzernamen im Klartext und das Passwort als ungesalzenen MD5-Hash. Der Hash selbst wird als Identitätsnachweis akzeptiert, ein Cracken ist optional.
4. JavaScript-Injection: Die Firmware-Version wird dem Controller als ungesicherter String übergeben. Durch Einbetten von JavaScript im Versionsfeld läuft der Code im Admin-Browser des Controllers.
5. VPN-Zugang: Aus dem übernommenen Account kann der Angreifer VPN-Tunnel ins Interne einrichten.

Einzelne Schwachstellen wurden bereits früher dokumentiert, darunter CVE-2025-7850, der Root-Zugriff auf Omada-Geräte ermöglicht. Die Kombination all dieser Fehler ist jedoch neu und deutlich gefährlicher als jeder einzelne Fehler für sich.

Wer ist betroffen?

Betroffen sind alle TP-Link Omada-Router, Switches und Access Points. Zusätzlich betrifft ein gemeinsames Zertifikats-Setup auch vier weitere Produktfamilien:

1. TP-Link VIGI (Überwachungskameras)
2. TP-Link Festa (Router)
3. TP-Link Tapo (Smart-Home)
4. TP-Link Kasa (Smart-Home)

Ein kompromittiertes Omada-Konto kann auf verknüpfte VIGI-Kamera-Installationen zugreifen. Forescout zählt über 1.800 Omada-Controller, die aus dem Internet erreichbar sind. Für die TP-Link-Apps wurden über 70 Millionen Downloads im Google Play Store gezählt.

Wie kritisch ist das?

Einzelne Schwachstellen haben höchstens mittlere bis hohe CVSS-Werte. Die Kette ist das Problem: Ein Angreifer, der einen der Schwachstellen ausnutzt, kann die nächsten Stufen eskalieren. Das Endziel ist die vollständige Kontrolle über den Controller und alle angeschlossenen Geräte. Für KMU, die Omada als zentrale Netzwerfinfrastruktur einsetzen, ist das eine existenzbedrohende Bedrohung.

Besonders problematisch: Zwei der Schwachstellen (vorhersagbare Seriennummern und Enummeration) können nicht per Firmware-Patch behoben werden. TP-Link bentigt Änderungen an der Fertigung, Verpackung und Logistik. Laut Forescout wird diese Behebung frühestens im dritten Quartal 2026 erwartet.

Was sollten Admins jetzt tun?

1. Omada-Controller patchen: Installieren Sie die verfügbaren Firmware-Updates für Controller und Geräte. TP-Link hat für die meisten Schwachstellen Patches veröffentlicht.
2. Cloud-API-Zugriff einschränken: Sichern Sie den Zugriff auf die Omada Cloud-API ab und reduzieren Sie die Anzahl der von außen erreichbaren Controller.
3. Zertifikate prüfen: Das gemeinsame TLS-Zertifikat und der Private Key sind in allen Omada-Produkten eingebettet. Erwägen Sie, den Controller hinter einem VPN zu betreiben.
4. Passwörter ändern: Die Site-Passwörter sollten sofort geändert werden, da der MD5-Hash als Authentifizierung akzeptiert wird.
5. Andere TP-Link-Produkte prüfen: Wenn Sie VIGI, Festa, Tapo oder Kasa nutzen, prüfen Sie, ob diese mit demselben Omada-Konto verknüpft sind.
6. Netzwerksegmentierung: Trennen Sie IoT- und NetzwerkGeräte in separate VLANs, um die Auswirkungen eines kompromittierten Controllers zu begrenzen.

Einordnung für Unternehmen

Für KMU mit TP-Link Omada-Infrastruktur ist dieses Update Pflicht. Die Kombination aus Remote-Ausnutzbarkeit und fehlender Fixmöglichkeit für zwei Schwachstellen macht die Lage besonders unangenehm. Wer Omada in kritischen Netzwerken einsetzt, sollte kurzfristig prüfen, ob ein Wechsel zu einer alternativen Plattform nötig ist. Für kleine Büros mit ein paar Access Points ist der patchende Ansatz in der Regel ausreichend.

Passende Anleitungen auf S-EDV

1. Fortinet FortiOS: SSL-VPN Bypass Patch CVE-2025-68686 aktiv ausgenutzt - Einordnung der Firewall-Landschaft im Sommer 2026.
2. Synology Firewall-Ports für Docker freigeben - Grundlagen zur Netzwerksegmentierung und Port-Freigabe.

Quellen

1. Help Net Security: 15 TP-Link Omada vulnerabilities let attackers hijack routers
2. Heise: Sicherheitsupdates - TP-Links Netzwerk-Ökosystem Omada ist kompromittierbar
3. Blogspan/Forescout: Omada - 15 neue Schwachstellen in TP-Links Auto-Einrichtung