O caso: a TP-Link publicou um aviso de segurança sobre 5 falhas nos aparelhos da linha Aginet, que a empresa vende para operadoras de internet entregarem aos clientes. A página do aviso foi atualizada em 9 de outubro de 2026, um dia depois de os pesquisadores da SEC Consult divulgarem os detalhes técnicos, em 8 de outubro. Quem tem em casa ou na empresa um roteador, um ponto de mesh ou um modem que veio da operadora precisa saber se o seu está na lista.
Resposta curta: as falhas atingem 65 modelos, segundo o aviso. A mais grave tem nota 8,7 de 10 e deixa quem está na mesma rede passar pela senha do painel do roteador. Na rede de casa do exemplo, isso quer dizer qualquer um dos 21 aparelhos conectados, inclusive os das visitas. A TP-Link avisa que o firmware dessas versões pode não estar disponível para download. Nesse caso, quem atualiza é a operadora.
O que a TP-Link publicou
O aviso da TP-Link trata de 5 vulnerabilidades, numeradas de CVE-2025-30237 a CVE-2025-30241. Elas estão nos produtos que a fabricante chama de gerenciados pelo provedor: aparelhos que a operadora compra, personaliza e entrega ao cliente com o próprio software.
Segundo o aviso e a divulgação da SEC Consult, os problemas são de quatro tipos: controle de acesso que falha no painel web, dados sensíveis guardados de forma insegura (incluindo chaves de criptografia fixas no software), tratamento inseguro de atalhos de arquivo em pen drive ou HD ligado na USB do aparelho e validação fraca do que o usuário digita. A SEC Consult afirma que, combinadas, as falhas permitiam que alguém na mesma rede, sem senha, tomasse o controle completo do aparelho.
| CVE | O que a falha faz | Nota (CVSS 4.0) | Precisa de senha? |
|---|---|---|---|
| CVE-2025-30237 | Algumas páginas do painel web não conferem o login | 8,7 (alta) | Não |
| CVE-2025-30238 | Usuário comum consegue fazer operações de administrador | 8,6 (alta) | Sim, de um usuário comum |
| CVE-2025-30239 | Chaves de criptografia fixas no software | Ver aviso | Ver aviso |
| CVE-2025-30240 | Leitura de arquivos por atalho em pen drive na USB | Ver aviso | Ver aviso |
| CVE-2025-30241 | Validação fraca de entrada | Ver aviso | Ver aviso |
As duas notas da tabela vêm do aviso da TP-Link. As outras três estão no mesmo aviso, que traz a nota de cada uma por modelo.
Os 65 modelos afetados ficam nas linhas HB, HX e HC (mesh), EB, EC e EX (roteadores), XC e XX (aparelhos de fibra) e VX (modems DSL). A TP-Link avisa que versões personalizadas pelas operadoras também podem ser afetadas e não aparecem na lista.
Por que a palavra "rede" importa aqui
A nota da falha mais grave traz um detalhe técnico que muda a conta: o ataque é "adjacente". Na prática, quem ataca precisa estar ligado na mesma rede do roteador, pelo Wi-Fi ou pelo cabo. A falha não depende de senha nem de alguém clicar em nada.
Nem a TP-Link nem a SEC Consult dizem se o painel dessas linhas fica aberto para a internet. Então a conta prudente é a da rede interna: quantos aparelhos estão do lado de dentro e podem chegar ao painel do roteador.
A conta do impacto na rede de casa
Roteadores de casa costumam usar uma rede com máscara 255.255.255.0, também escrita como /24. Exemplo de premissa: o roteador da operadora está em 192.168.1.1 e entrega endereços na rede 192.168.1.0/24.
- Uma rede /24 tem 254 endereços que um aparelho pode usar.
- Na casa do exemplo há 15 aparelhos da família: celulares, TVs, notebooks, videogame, câmeras e lâmpadas inteligentes.
- Num fim de semana, chegam 6 aparelhos de visitas, todos na mesma senha do Wi-Fi.
- Total na mesma rede do painel: 15 + 6 = 21 aparelhos.
Cada um desses 21 aparelhos poderia, em tese, explorar a falha mais grave. Basta um estar infectado ou nas mãos de alguém mal-intencionado. Os números da família são um exemplo, não medição de uma casa real.
| Situação da rede | Aparelhos que alcançam o painel | Risco com a falha sem correção |
|---|---|---|
| Família e visitas no mesmo Wi-Fi | 21 | Qualquer aparelho conectado pode tentar |
| Visitas em rede separada (192.168.2.0/24) | 15 | Só os aparelhos da família |
| Pequena loja com Wi-Fi aberto a clientes, na mesma rede | até 254 | Qualquer cliente conectado pode tentar |
| Loja com 40 aparelhos internos em rede /26 e clientes à parte | 40 | Só os aparelhos da loja |
A conta mostra onde está o perigo maior: o comércio que oferece Wi-Fi para clientes na mesma rede do caixa e do roteador. Ali, quem alcança o painel é qualquer pessoa sentada na mesa. Separar a rede de visitantes reduz o grupo de 254 vagas possíveis para os 40 aparelhos da loja.
O que fazer agora
- Descubra o modelo. Olhe a etiqueta embaixo do roteador ou do ponto de mesh. Procure a marca TP-Link e um modelo que comece com HB, HX, HC, EB, EC, EX, XC, XX ou VX. Se a etiqueta tiver só a marca da operadora, ligue para ela e pergunte o fabricante e o modelo.
- Compare com a lista do aviso. O aviso da TP-Link traz a tabela de modelos e as versões de firmware corrigidas.
- Peça a atualização à operadora. A TP-Link diz que o firmware das versões de provedor pode não estar disponível para baixar no site. Quem atualiza, nesses casos, é a operadora, muitas vezes à distância. Pergunte se o seu aparelho já recebeu a correção.
- Separe a rede das visitas. Se o roteador tiver rede de convidados, use. O site tem um guia sobre como separar o Wi-Fi de visitantes da rede da empresa.
- Troque a senha do Wi-Fi se ela já foi passada para muita gente. Assim, aparelhos antigos de visitas saem da rede.
- Tire pen drives e HDs da USB do roteador se você não usa o compartilhamento. Uma das falhas passa por arquivos ligados ali.
Erros comuns
- Achar que "não é TP-Link" porque a caixa tem a marca da operadora. Muitos aparelhos de provedor saem com a marca da operadora. Confirme o fabricante.
- Procurar o firmware no site da TP-Link e desistir. Nas versões de operadora, a atualização pode vir só por ela.
- Pensar que a senha forte do painel resolve. A falha mais grave, de nota 8,7, não pede senha.
- Deixar a rede dos clientes junto com a do caixa. No exemplo da loja, isso abre o painel para até 254 aparelhos.
Perguntas frequentes
Meu roteador da operadora é afetado?
Só se for um dos 65 modelos TP-Link da lista do aviso, ou uma versão personalizada deles. Olhe a etiqueta e confirme com a operadora.
Alguém pela internet consegue invadir?
O aviso e os pesquisadores descrevem o ataque a partir da mesma rede. Eles não dizem se o painel desses aparelhos fica exposto na internet. Por isso, a conta segura considera os 21 aparelhos da casa do exemplo como possíveis pontos de ataque.
Quantos aparelhos cabem numa rede de casa /24?
254 aparelhos, na máscara 255.255.255.0. Cada um deles alcança o painel do roteador se estiver na mesma rede.
A rede de convidados resolve?
Diminui o risco. No exemplo, o grupo que alcança o painel cai de 21 para 15 aparelhos, porque as 6 visitas ficam em outra rede. A correção do firmware continua necessária.
Posso atualizar sozinho?
Depende do aparelho. A TP-Link avisa que o firmware das versões de operadora pode não estar à venda nem para download. Nesse caso, quem atualiza é a operadora.
Quer conferir a sua rede e quantos aparelhos cabem nela? Use a calculadora de máscara de rede com o endereço do seu roteador.
Leia também: TP-Link: falhas no TL-WR940N, WR850N e Archer C20
