En bref

  • Forescout Vedere Labs a révélé 15 vulnérabilités dans le mécanisme ZTP (Zero-Touch Provisioning) des équipements réseau TP-Link Omada lors de Black Hat USA 2026
  • Chaînées avec CVE-2025-7850 et CVE-2025-7851, ces failles permettent une prise de contrôle complète du réseau : exécution de code, interception des communications chiffrées, détournement d'appareils dès leur démarrage
  • 1 800 contrôleurs Omada exposés directement sur Internet — TP-Link a publié des patches, mise à jour immédiate requise pour les déploiements on-premise

Les faits

Black Hat USA 2026 a été le cadre d'une divulgation technique majeure concernant les équipements réseau TP-Link Omada. Les chercheurs de Forescout Vedere Labs — unité de recherche spécialisée dans la sécurité des équipements réseau et OT — ont présenté les résultats d'une analyse approfondie du mécanisme ZTP (Zero-Touch Provisioning) utilisé par la gamme Omada, qui équipe des millions de réseaux d'entreprises, d'établissements d'enseignement et de PME dans le monde entier.

Le Zero-Touch Provisioning est une fonctionnalité de déploiement automatisé permettant à un équipement réseau (switch, point d'accès Wi-Fi, routeur) fraîchement sorti de sa boîte de se configurer automatiquement en contactant le contrôleur Omada — hébergé localement ou dans le cloud TP-Link. L'intérêt opérationnel est réel : zéro configuration manuelle, déploiement instantané à grande échelle. Le problème, documenté par Forescout, est que cette automatisation repose sur des mécanismes d'authentification et de chiffrement déficients à plusieurs niveaux critiques.

La liste des 15 vulnérabilités couvre quatre catégories d'impact distinctes. Première catégorie : l'exécution de code côté client. Une faille XSS (cross-site scripting) dans l'interface web du contrôleur Omada permet à un attaquant ayant injecté du code malveillant dans la configuration d'un équipement de compromettre le navigateur d'un administrateur consultant l'interface. Combinée à une session administrative active, cette faille peut mener à une compromission complète du panneau de gestion réseau.

Deuxième catégorie : la divulgation d'informations. Les chercheurs ont découvert que le processus ZTP transmet les credentials de sites (identifiants Wi-Fi, clés d'administration des équipements) sans protection suffisante lors de la phase initiale de provisioning. L'utilisation de clés cryptographiques et de certificats hardcodés — identiques sur tous les appareils d'une même gamme produit — rend cette transmission interceptable par quiconque disposant d'un accès réseau et des clés statiques extraites du firmware. Ces clés ont été extraites et publiées par Forescout dans le cadre de la divulgation responsable coordonnée avec TP-Link.

Troisième catégorie, la plus grave opérationnellement : le détournement et l'usurpation d'appareils. Une race condition dans le processus d'adoption cloud — le moment où un équipement neuf contacte pour la première fois le contrôleur — permet à un attaquant positionné sur le chemin réseau de se substituer au contrôleur légitime et de prendre le contrôle de l'appareil avant qu'il ne soit correctement enregistré. En pratique, cela signifie qu'un attaquant peut "adopter" un switch ou un point d'accès Omada à la place de l'administrateur légitime dès l'allumage, le configurant selon ses propres paramètres malveillants.

Quatrième catégorie : la compromission des communications chiffrées. La validation de certificats dans le processus ZTP est insuffisante, permettant des attaques de type Man-in-the-Middle (MitM). Un attaquant interceptant la communication entre un équipement Omada et son contrôleur peut déchiffrer le trafic, modifier les configurations en transit ou injecter des commandes arbitraires. La présence de clés hardcodées communes à l'ensemble de la gamme facilite considérablement cette attaque.

L'escalade critique documentée par Forescout est le chaînage avec deux CVE antérieures : CVE-2025-7850 et CVE-2025-7851, des vulnérabilités divulguées en 2025 dans les passerelles Omada. En combinant les 15 nouvelles vulnérabilités ZTP avec ces deux CVE, les chercheurs ont démontré des scénarios d'attaque concrets aboutissant à une exécution de code à distance (RCE) sur le contrôleur Omada — accordant à l'attaquant le contrôle total du réseau géré : switchs, points d'accès Wi-Fi, VLANs, règles de pare-feu. Selon SecurityWeek qui a couvert la présentation, le résultat est qualifié de "full network takeover" par les chercheurs.

La surface d'exposition est mesurable et préoccupante. Forescout a identifié environ 1 800 contrôleurs Omada accessibles directement depuis Internet, en dépit des recommandations explicites de TP-Link de ne jamais exposer le contrôleur en accès public. Ces 1 800 instances représentent la portion la plus immédiatement exposée d'une base d'installation bien plus large. Les contrôleurs derrière NAT ou VPN sont également concernés par les vulnérabilités du processus ZTP si un attaquant a obtenu un accès réseau interne — que ce soit physiquement, via Wi-Fi ou après une compromission initiale du SI.

TP-Link a répondu à la divulgation coordonnée de Forescout en publiant des mises à jour firmware pour les équipements Omada affectés avant la présentation publique à Black Hat. Selon BleepingComputer qui a relayé la divulgation, les organisations utilisant le contrôleur cloud Omada officiel bénéficient de mises à jour automatiques côté serveur. Celles utilisant un contrôleur on-premise (OC300, OC200, Omada Software Controller) doivent appliquer manuellement les mises à jour disponibles sur le portail de support TP-Link. Les firmwares des équipements physiques (switchs, APs) nécessitent également une mise à jour, indépendamment du type de contrôleur utilisé.

Impact et exposition

La gamme TP-Link Omada est massivement déployée dans les PME, établissements scolaires, hôtels et espaces de coworking pour son rapport qualité/prix et sa facilité de déploiement. Une compromission du contrôleur Omada donne accès à la totalité de la politique réseau : suppression des VLANs de segmentation, interception du trafic Wi-Fi, création de points d'accès malveillants, pivot vers les systèmes connectés. Pour les déploiements multi-sites gérés depuis un contrôleur cloud unique, une seule compromission peut affecter l'ensemble des sites.

Recommandations

  • Mettre à jour immédiatement le firmware du contrôleur Omada on-premise et des équipements (switchs, APs, routeurs) vers les dernières versions disponibles sur le portail TP-Link
  • Isoler le contrôleur : s'assurer que le contrôleur Omada n'est pas exposé directement sur Internet — le placer derrière un pare-feu avec accès restreint aux seules IP d'administration définies
  • Revoir les configurations ZTP : désactiver le Zero-Touch Provisioning cloud si non utilisé en production, ou restreindre les IP sources autorisées à initier le provisioning
  • Auditer les logs : vérifier dans le contrôleur Omada l'historique des adoptions d'appareils et des modifications de configuration pour détecter toute action non initiée par l'équipe IT
  • Segmenter : si le contrôleur gère des réseaux sensibles (IoT, OT, serveurs), vérifier que des VLANs avec ACL strictes limitent les flux croisés

Les équipements TP-Link Omada gérés via le cloud officiel sont-ils automatiquement protégés ?

Partiellement. Les mises à jour du contrôleur côté cloud TP-Link sont appliquées de façon transparente. Cependant, les firmwares des équipements physiques (switchs, APs, routeurs) nécessitent une mise à jour via le panneau de gestion Omada — vérifier que la mise à jour automatique des firmwares est activée ou procéder à la mise à jour manuelle. Les contrôleurs on-premise (OC300, OC200, Software Controller) requièrent une mise à jour manuelle dans tous les cas. Ne pas supposer que le cloud couvre l'intégralité des correctifs nécessaires.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit