Table of Contents
Le 4 août, à Black Hat USA, deux chercheurs de Forescout montent sur scène et déballent 15 failles TP-Link Omada. Pas une, pas deux : quinze. De quoi voler des identifiants, se faire passer pour un équipement, injecter du code dans l'interface d'admin et, au bout de la chaîne, prendre la main sur tout un parc réseau depuis un seul serveur.
Si tu gères des switchs, des points d'accès ou une box Omada — chez toi, chez un client, ou dans la salle serveur du boulot — cet article est pour toi. On voit ce qui se passe, pourquoi ça te concerne, et quoi vérifier ce soir en 20 minutes.
Le concierge qui distribue les clés
Imagine un immeuble tout neuf. À chaque fois qu'un meuble est livré, un concierge se précipite, le déballe, le branche et lui remet les clés de l'appartement — sans jamais vérifier qui l'a commandé. Son seul contrôle ? Le numéro de série collé sur le carton.
Ce concierge, c'est le Zero-Touch Provisioning (ZTP). L'idée est excellente sur le papier : tu déballes un switch, tu le branches, il trouve tout seul son contrôleur Omada, récupère sa configuration et ses mises à jour. Zéro manip. Quand tu déploies 150 points d'accès sur un site, ça te sauve la vie.
Le problème que Forescout a exposé, c'est que le concierge est trop confiant. Les numéros de série sont séquentiels et devinables. Un attaquant les énumère, repère les équipements pas encore adoptés, se fait passer pour l'un d'eux avec une adresse MAC usurpée, et le contrôleur lui tend gentiment les clés. Toute la sécurité du ZTP repose sur cette poignée de main de départ — et c'est exactement là que ça casse.
Les failles TP-Link Omada en clair
Les 15 vulnérabilités (11 avec un CVE, 4 encore en cours d'attribution) touchent quasiment tout l'écosystème : contrôleurs Omada, gateways, switchs, points d'accès, OLT, le cloud et les applis mobiles. Elles se rangent en quatre familles :
- Des clés en dur. Clé privée et certificat TLS codés en dur dans le protocole Omada (CVE-2025-15627, CVE-2025-15628), chiffrement RC4 à faible entropie (CVE-2025-15629). Autrement dit, le cadenas de départ a la même combinaison sur tous les appareils.
- Une adoption qui ne vérifie rien. Un équipement se fait adopter avec un simple numéro de série et des identifiants par défaut. Une condition de course (CVE-2025-15630) permet d'usurper une adresse MAC en rejouant le message toutes les 60 secondes.
- Des identifiants qui fuient. Le contrôleur renvoie des logins en clair et des hachages MD5 non salés (CVE-2025-15544, CVE-2025-15631). Avec ça, on récupère mots de passe admin et clés VPN.
- Du code injectable. Une faille de type cross-site scripting (CVE-2025-9289) et une politique CORS trop permissive (CVE-2025-9292) permettent d'injecter du JavaScript dans l'interface d'admin pour piéger le mot de passe.
Prises une par une, certaines paraissent bénignes. Le vrai danger, c'est la chaîne : on enchaîne l'énumération, l'usurpation, la fuite d'identifiants et l'injection pour arriver à une exécution de code root sur le contrôleur — puis sur tous les équipements qu'il gère. TP-Link le confirme d'ailleurs : le risque vient du chaînage, pas d'une faille isolée.
Autre point qui pique : les caméras. Sur les déploiements de vidéosurveillance VIGI, un attaquant peut se faire passer pour le contrôleur et intercepter le flux des caméras. Forescout a compté plus de 1 800 contrôleurs Omada exposés sur Internet alors qu'ils ne devraient jamais l'être.
Pourquoi ça te concerne
TP-Link Omada, c'est le matériel du milieu de gamme qu'on retrouve partout : PME, cabinets, écoles, boutiques, et de plus en plus dans les home labs de techniciens. Abordable, propre à administrer, très répandu. C'est précisément ce qui en fait une cible juteuse. Les failles TP-Link Omada frappent donc un parc déjà largement déployé.
Et un contrôleur ZTP, c'est un point de défaillance unique. Le compromettre, c'est ouvrir la porte de tout le parc d'un coup : « Si un attaquant compromet un serveur de provisioning, il peut accéder à tous les appareils qu'il gère. » Un seul maillon, tout le réseau derrière. Ce n'est pas la première alerte du genre ce mois-ci : la faille N-central visait déjà les boîtiers de gestion des prestataires.
La bonne nouvelle : ces failles ont été divulguées de façon responsable, les correctifs sont sortis en même temps que la présentation, et aucune exploitation massive dans la nature n'a été confirmée à ce jour. Tu es donc dans la fenêtre où on patche avant que ça chauffe. Ne la gaspille pas.
Ta checklist de 20 minutes
Se protéger des failles TP-Link Omada n'a rien de sorcier, juste de la méthode :
- Mets à jour le firmware. Contrôleur, gateway, switchs, points d'accès : passe par le centre de téléchargement Omada et applique les dernières versions. Le contrôleur en premier.
- Mets à jour les applis mobiles. Omada, Omada Guard, Tapo, Tether, Deco : les correctifs concernent aussi les applis. Ça prend deux minutes.
- Sors le contrôleur d'Internet. Il n'a rien à faire en accès direct. Mets-le derrière un VPN ou restreint à ton LAN. Vérifie que tu ne fais pas partie des 1 800 exposés.
- Change les mots de passe par défaut. Des identifiants uniques et costauds sur chaque équipement, jamais le même partout. Active le MFA sur ton compte TP-Link ID.
- Fais tourner les secrets. Si tu soupçonnes une exposition, régénère les clés VPN et les mots de passe potentiellement fuités.
Ce que tu retiens
Le Zero-Touch Provisioning t'épargne des heures de config, mais il déplace la confiance vers un seul point : le contrôleur. Ces failles TP-Link Omada rappellent une règle simple — un système qui automatise l'adoption d'équipements doit vérifier qui il adopte, pas juste un numéro de série devinable.
Concrètement pour toi : patche, sors ton contrôleur d'Internet, change les mots de passe par défaut. Trois gestes, et tu passes du côté tranquille de la fenêtre.
En résumé, les failles TP-Link Omada ne sont pas une fatalité : elles rappellent surtout qu'un déploiement « zéro effort » ne veut pas dire « zéro surveillance ». Garde tes firmwares à jour, verrouille l'accès à ton contrôleur et active le MFA, et tu transformes un risque critique en simple ligne de maintenance mensuelle.
FAQs
Mes équipements sont-ils concernés par les failles TP-Link Omada ?
Si tu utilises un contrôleur Omada (matériel, logiciel ou cloud) avec des switchs, points d'accès ou gateways, considère que oui tant que tu n'as pas appliqué les derniers firmwares. Vérifie ta version dans le centre de téléchargement Omada.
Est-ce que ces failles sont déjà exploitées ?
À ce jour, aucune exploitation massive dans la nature n'a été confirmée. La divulgation a été responsable et les correctifs sont disponibles, mais les détails techniques étant publics, la fenêtre pour patcher tranquillement se referme.
Le simple fait de mettre à jour suffit-il ?
C'est la priorité numéro un, mais pas la seule. Change aussi les identifiants par défaut, sors le contrôleur d'un accès direct à Internet et active le MFA sur ton compte TP-Link ID. Le patch ferme la porte, l'hygiène l'empêche de se rouvrir.
Ça concerne aussi mes caméras et mes objets connectés ?
Oui. La vidéosurveillance VIGI est concernée (interception possible du flux), et l'infrastructure de compte TP-Link est partagée avec les applis grand public (Tapo, Kasa, Deco). Mets à jour tout ce qui touche à ton compte TP-Link.
