O fato: a TP-Link publicou dois avisos de segurança no fim de julho de 2026. O primeiro, CVE-2026-12935, atinge o TL-WR940N v6: um estouro de memória no recurso que acompanha conexões de vídeo RTSP pode permitir que um atacante sem senha derrube o roteador ou execute código, com a configuração de fábrica. Nota 8,7 (alta). O segundo, CVE-2026-12001, publicado em 27 de julho, trata de uma credencial embutida no firmware de modelos como TL-WR845N v4, TL-WR850N v3, Archer C20 v6 e Archer MR200 v5. Nota 5,2 (média).
O que fazer: descobrir o modelo e a versão de hardware do seu roteador e instalar o firmware indicado no aviso. Se não houver firmware para o seu modelo, vale planejar a troca.
Falha 1: TL-WR940N v6 e o recurso RTSP
O aviso da TP-Link descreve uma falha no módulo de connection tracking de RTSP do TL-WR940N v6. RTSP é o protocolo que câmeras, gravadores e alguns aplicativos de vídeo usam para enviar imagem ao vivo. O roteador acompanha essas conexões para que o vídeo passe pelo NAT.
O problema é um estouro de pilha (stack-based buffer overflow): o roteador grava mais dados do que cabe num espaço de memória. Segundo o registro da falha, isso pode ser provocado quando um aparelho da rede interna se conecta a um servidor RTSP malicioso. O resultado pode ser o roteador travar ou, no pior caso, rodar código do atacante.
- Modelo: TL-WR940N v6.
- Precisa de senha? Não. Funciona com a configuração padrão.
- Nota CVSS 4.0: 8,7 (alta).
- Correção: o aviso lista firmware corrigido para as versões EN, US e JP do aparelho.
A falha foi registrada em 29 de julho de 2026, e o aviso da TP-Link aparece como atualizado em 30 de julho.
Falha 2: credencial dentro do firmware
O segundo aviso é de outra natureza. Segundo a descrição, um material de autenticação fica guardado num arquivo de senhas dentro da imagem do firmware e pode ser recuperado por quem analisar esse arquivo. Com ele, um atacante pode chegar a funções privilegiadas do aparelho.
- Modelos citados: TL-WR845N v4, TL-WR850N v3, Archer C20 v6 e Archer MR200 v5, segundo a base de avisos do GitHub. Outras bases também citam o TL-WR902AC v4.
- Nota CVSS 4.0: 5,2 (média).
- Publicação: 27 de julho de 2026. O aviso da TP-Link foi atualizado em 11 de agosto de 2026.
- Correção: o aviso lista firmware corrigido para o TL-WR845N v4 e o TL-WR850N v3. Para os outros modelos, confira a página de download do seu aparelho.
A nota é menor porque o ataque exige mais trabalho do que a falha do RTSP. Mesmo assim, uma senha igual em milhares de aparelhos é o tipo de problema que a Anatel tenta evitar nos requisitos de segurança cibernética para roteadores homologados no Brasil, que pedem credenciais iniciais diferentes por aparelho.
Como saber se o seu roteador está na lista
- Olhe a etiqueta embaixo do roteador. Ela traz o modelo (por exemplo, TL-WR940N) e a versão de hardware, escrita como Ver: 6.0 ou parecido. A versão importa: a falha do RTSP foi descrita para a v6.
- Veja a versão do firmware na página de configuração, em Ferramentas do sistema › Atualização de firmware (o nome muda conforme o modelo).
- Baixe só do site da TP-Link, na página de suporte do seu modelo e da sua versão de hardware. Firmware de outra versão ou de outra região pode travar o aparelho.
- Não desligue o roteador durante a atualização e, se possível, faça a atualização pelo cabo de rede.
Se o seu modelo é antigo e não aparece mais nas atualizações, considere a troca. Um roteador sem firmware novo continua com as falhas conhecidas para sempre.
Enquanto não atualiza: separe câmeras e outros aparelhos
A falha do RTSP depende de um aparelho da sua rede se conectar a um servidor de vídeo malicioso. Câmeras baratas, aplicativos de câmera e TV boxes são os candidatos mais comuns. Separar esses aparelhos da rede dos computadores reduz o estrago se algo der errado.
O jeito mais simples em roteadores domésticos é a rede de visitantes: ela costuma isolar os aparelhos da rede principal. Veja o guia como separar o Wi-Fi de visitantes da rede da empresa.
Em roteadores que permitem criar sub-redes, faça a conta do tamanho. Para 12 câmeras e gravadores:
| Item | Valor |
|---|---|
| Endereços necessários | 12 aparelhos + rede + broadcast = 14 |
| Menor bloco que cabe | /28 (16 endereços) |
| Máscara | 255.255.255.240 |
| Aparelhos que cabem | 14 (sobram 2) |
| Exemplo de faixa | 192.168.0.33 a 192.168.0.46 |
Compare com a rede de casa inteira, /24, onde cabem 254 aparelhos que, sem separação, se enxergam todos. O guia qual máscara usar para uma rede de 30 câmeras mostra a mesma conta para um sistema maior.
Outras medidas que valem para qualquer TP-Link
- Troque a senha de administração do roteador, além da senha do Wi-Fi.
- Desligue o gerenciamento remoto se você não usa. Ele costuma aparecer como "Gerenciamento remoto" ou "Acesso remoto".
- Desative recursos que você não usa, como servidor de VPN ou compartilhamento USB.
- Anote a data da última atualização. Se faz mais de um ano, procure firmware novo.
Perguntas rápidas
Meu TL-WR940N é de outra versão de hardware. Estou seguro?
O aviso cita a v6. Para outras versões, confira a página de suporte do seu modelo. Versões antigas sem firmware recente podem ter outras falhas.
O provedor que instalou o roteador. Quem atualiza?
Se o roteador é do provedor, peça a atualização a ele. Se você comprou o aparelho, a atualização é sua.
Trocar a senha resolve a falha do RTSP?
Não. A falha do RTSP não depende de senha. Só o firmware corrigido fecha o problema.
Na calculadora abaixo, já preenchida com 12 aparelhos, você vê qual máscara usar para a rede das câmeras.
