أعلن فريق البحث Vedere Labs التابع لشركة Forescout Technologies، خلال مؤتمر Black Hat USA للأمن السيبراني المنعقد في لاس فيغاس يوم الثلاثاء 4 أغسطس 2026، اكتشاف 15 ثغرة أمنية جديدة في آلية التجهيز دون لمس (Zero-Touch Provisioning – ZTP) ضمن منظومة أجهزة الشبكات المؤسسية TP-Link Omada.
وأكد الباحثون إمكانية ربط هذه الثغرات ببعضها، ودمجها مع ثغرتين سابقتين لتنفيذ الأوامر عن بُعد (CVE-2025-7850 وCVE-2025-7851)، ما يسمح للمهاجمين بتحقيق اختراق كامل للشبكة والسيطرة على أسطول الأجهزة المُدارة بالكامل، والذي يشمل أجهزة التوجيه، والمحولات، ونقاط الوصول.
استجابة لذلك، أصدرت شركة TP-Link نشرة أمنية عاجلة يوم الاثنين 3 أغسطس 2026، تتضمن تحديثات برمجية متاحة عبر بوابة تحميل Omada لمعالجة هذه المشكلات، مشددة على ضرورة تطبيقها الفوري وفصل وحدات التحكم عن الاتصال المباشر بالإنترنت. وقد منحت المؤسسة المختصة معرفات (CVE) لإحدى عشرة ثغرة من أصل خمس عشرة، بينما صنفت الثغرات الأربع المتبقية على أنها “منخفضة الخطورة” ولم تُمنح معرفات، مع الإشارة إلى أن بعض الإصلاحات الهيكلية لن تكتمل قبل أواخر عام 2026.
أثرت هذه الثغرات على خط إنتاج TP-Link Omada بشكل واسع، لتشمل مكونات حيوية مثل وحدات التحكم، والبوابات، والمحولات، ونقاط الوصول، ومنصات OLT، بالإضافة إلى البنية السحابية وتطبيقات الجوال.
وشملت الثغرات المصنفة استخدام شهادات رقمية مدمجة وهي الثغرة (CVE-2025-15628 بتقييم CVSS عند 8.2)، وضعفاً في التحقق من الشهادات ضمن الثغرة (CVE-2025-9291 بتقييم CVSS عند 7.7). كما سُجلت ثلاث ثغرات بخطورة 6.9 تتعلق بضعف حماية بيانات الاعتماد (CVE-2025-15544)، ووجود مفاتيح تشفير مدمجة (CVE-2025-15627)، وضعف في توليد مفاتيح الجلسات (CVE-2025-15629). وتضمنت القائمة أيضاً حالة تسابق في آلية التبني (CVE-2025-15630 بتقييم CVSS عند 5.8)، وضعفاً في تخزين بيانات الاعتماد (CVE-2025-15631 بتقييم CVSS عند 5.7).
تعتمد منظومة Omada، المُصممة للشركات الصغيرة والمتوسطة والمواقع الموزعة، على تقنية ZTP لتبسيط إعداد الأجهزة؛ حيث تتلقى الأجهزة إعداداتها تلقائياً من وحدات التحكم المركزية (الفعلية، أو البرمجية، أو السحابية) بمجرد اتصالها بالشبكة. وصرح Daniel dos Santos، نائب رئيس الأبحاث في Forescout، بأن هذه الآلية القائمة على الثقة الضمنية خلقت سطح هجوم جديداً يمكّن المهاجمين من استهداف النظام المركزي وإخضاع عشرات الأجهزة دفعة واحدة بدلاً من استهدافها فردياً.
فصّل تقرير الشركة، المعنون “Zero Day Provisioning: Chaining TP-Link ZTP Vulnerabilities to Infiltrate Networks”، طبيعة هذه الثغرات، موضحاً أنها تسمح بهجمات الوسيط (Man-in-the-Middle) نتيجة ضعف التحقق من هوية الشهادات، واستخدام خوارزميات تجزئة ضعيفة لحماية كلمات المرور، إلى جانب ثغرة برمجة عبر المواقع (Cross-Site Scripting) في واجهة الإدارة.
وفي سيناريو هجومي عملي، يمكن لمهاجم خارجي استغلال حالة التسابق أثناء عملية التبني السحابي لجهاز جديد لانتحال شخصيته، ومن ثم الاستحواذ على بيانات اعتماد المسؤول، التي تتضمن اسم المستخدم وكلمة المرور المجزأة بتقنية MD5 ومفاتيح الشبكات الافتراضية الخاصة (VPN). يعقب ذلك حقن تعليمات JavaScript خبيثة في متصفح المسؤول لسرقة حساب الإدارة السحابي، ما يتيح للمهاجم إعادة تهيئة الأجهزة، وإنشاء أنفاق VPN نحو الشبكة الداخلية، واستغلال ثغرات تنفيذ الأوامر السابقة للوصول إلى صلاحيات الجذر (Root).
ورغم التوصيات الأمنية، رصدت Forescout أكثر من 1,800 جهاز تحكم Omada مكشوفاً على الإنترنت المباشر. وتجاوز نطاق الخطر أجهزة Omada ليمتد إلى خطوط إنتاج أخرى من TP-Link، مثل منصة كاميرات المراقبة VIGI، وأجهزة التوجيه Festa، ومنتجات المنازل الذكية Tapo وKasa. ودعت المستخدمين إلى تحديث البرامج الثابتة فوراً، واعتماد كلمات مرور قوية وفريدة، وتفعيل المصادقة متعددة العوامل (MFA)، وتدوير مفاتيح التشفير عند الاشتباه بأي اختراق، مع المراقبة المستمرة لحركة البيانات.
