Admins, die in Unternehmen TP-Links Netzwerkmanagementlösung nutzen, sollten aus Sicherheitsgründen die aktuellen Android-Apps und Patches installieren und ihre Passwörter rotieren. Dazu raten der Netzwerkhersteller und Sicherheitsforscher. Im schlimmsten Fall können Angreifer ganze Netzwerke kompromittieren. Bislang gibt es keine Hinweise, dass Angreifer die Lücken bereits ausnutzen.

Über Omada steuern Admins Netzwerkkomponenten über eine einzige, zentrale Oberfläche. Statt jedes Gerät einzeln einzurichten, meldet es sich beim Controller an (Zero-Touch-Provisioning, ZTP) und bekommt von dort automatisch Konfiguration, Zugangsdaten und Firmware-Updates. Demzufolge bildet es eine zentrale Stelle in Firmennetzwerken. Nach erfolgreichen Attacken können sich Angreifer weiter ausbreiten und sich in Netzwerken festsetzen.

Verschiedene Gefahren

Im Zuge der Black-Hat-2026-Konferenz haben Sicherheitsforscher von Forescout Informationen zu mehreren Sicherheitslücken in Omada veröffentlicht, die konkret ZTP betreffen. Ihnen zufolge können sich Angreifer unter anderem über hartkodierte kryptografische Schlüssel (CVE-2025-15627 „mittel“) und ein hartkodiertes Zertifikat (CVE-2025-15628 „hoch“) Zugriff verschaffen, Schadcode ausführen (CVE-2025-7850 „kritisch“) und sich einen Root-Shell-Zugriff einrichten (CVE-2025-7851 „hoch“).

Die Forscher führen aus, dass Angreifer Schwachstellen miteinander kombinieren können, um sich weitreichenden Netzwerkzugriff zu verschaffen. Da über Omada auch IP-Kameras (VIGI) verwaltet werden, können Angreifer theoretisch Videoaufzeichnungen manipulieren.

Sicherheitsupdates

In einer Warnmeldung listet TP-Link die Gefahren und konkret betroffene Produkte auf. Leider finden sich dort keine konkreten Hinweise auf reparierte Firmwareversionen. Aus dort verlinkten Supportbeiträgen finden sich Versionshinweise. Zusätzlich geht daraus hervor, dass einige Schwachstellen bereits im Oktober 2025 geschlossen wurden.

Admins sollten sicherstellen, dass bei ihnen aktuelle Android-Omada-Apps und Firmwareversionen installiert sind. Außerdem sollten Zugangsdaten, VPN-Schlüssel und Zertifikate rotiert werden.

(des)