Chi usa in casa o in negozio una telecamera Wi-Fi TP-Link Tapo C200 (versione hardware V5) o Tapo C120 (versione V1) dovrebbe verificare subito di avere il firmware aggiornato. TP-Link ha pubblicato a inizio ottobre 2026 le correzioni per una serie di vulnerabilità scoperte dai ricercatori di OPSWAT: messe in fila, permettono a chi è già collegato alla stessa rete locale di prendere il controllo della telecamera. Non risultano attacchi reali, ma i modelli sono tra i più diffusi nelle abitazioni.
Cosa cambia
Secondo il bollettino di sicurezza di TP-Link, aggiornato il 1 ottobre 2026, le falle corrette riguardano il servizio usato durante la prima configurazione della telecamera e uno strumento di diagnostica interno. La più grave (CVE-2026-102369, punteggio CVSS 4.0 pari a 8,7) consente di eseguire comandi sul sistema operativo della telecamera; altre due (CVE-2026-9032 e CVE-2026-78578, entrambe 7,1) permettono di bloccare il servizio web o di cambiare le impostazioni Wi-Fi scollegando la telecamera dalla rete; una quarta (CVE-2026-78577, 5,3) espone i nomi e le caratteristiche delle reti Wi-Fi vicine.
I ricercatori Khoi Tran e Thai Do di OPSWAT, citati da Cybernews, spiegano che la catena d'attacco completa combina queste falle con un aggiramento dell'autenticazione già corretto da TP-Link ad agosto: in quel caso l'attaccante potrebbe installare software malevolo sulla telecamera, mantenerne il controllo e usarla come base per esplorare gli altri dispositivi della rete di casa. In tutto, secondo la stessa fonte, gli aggiornamenti correggono sei vulnerabilità.
A chi serve
L'avviso riguarda chi possiede una Tapo C200 con etichetta "V5" o una Tapo C120 con etichetta "V1": la versione hardware è stampata sull'etichetta sotto o dietro la telecamera ed è visibile anche nelle informazioni del dispositivo nell'app Tapo. È rilevante soprattutto dove la rete Wi-Fi è condivisa con altre persone, per esempio nei negozi, negli uffici, nei B&B o negli appartamenti in affitto, perché l'attacco richiede l'accesso alla stessa rete locale. Per chi ha altri modelli Tapo, il consiglio resta quello di controllare periodicamente gli aggiornamenti.
Limiti e costi
L'aggiornamento è gratuito e si installa dall'app Tapo; le versioni che contengono le correzioni sono la 1.4.6 Build 260709 per la C200 V5 e la 1.9.4 Build 260813 per la C120 V1. Il bollettino non elenca con precisione tutte le versioni vulnerabili precedenti, quindi la regola pratica è portarsi almeno a queste build. Il limite principale è che l'aggiornamento automatico non sempre è attivo: va controllato nelle impostazioni del dispositivo. Le falle non sono sfruttabili direttamente da Internet, ma una rete Wi-Fi con password debole o condivisa con troppe persone abbassa molto la barriera d'ingresso.
| Prodotto | Tapo C200 (hardware V5) e Tapo C120 (hardware V1) |
|---|---|
| Produttore | TP-Link |
| Tipo di impianto | Videosorveglianza domestica Wi-Fi |
| Dati principali | CVE-2026-102369 (8,7), CVE-2026-9032 (7,1), CVE-2026-78578 (7,1), CVE-2026-78577 (5,3); attacco possibile solo dalla rete locale; nessuno sfruttamento reale noto |
| Disponibilità in Italia | Firmware correttivo disponibile tramite app Tapo: C200 V5 1.4.6 Build 260709, C120 V1 1.9.4 Build 260813 |
| Prezzo indicativo | Aggiornamento gratuito |
| Fonte | Bollettino di sicurezza TP-Link, aggiornato al 1 ottobre 2026 |
Il commento di PINET
Le telecamere economiche da collegare al Wi-Fi di casa sono comode, ma restano piccoli computer che vanno mantenuti come tali: aggiornamento automatico attivo, password del Wi-Fi robusta e nessuna porta aperta sul router per vederle da fuori, visto che l'app del produttore non ne ha bisogno. Dove possibile conviene metterle su una rete separata da quella dei computer e degli smartphone, per esempio la rete ospiti del router o una rete dedicata, così una telecamera compromessa non diventa una porta verso il resto della casa. Per un negozio o un ufficio che registra aree aperte al pubblico vale la pena valutare un impianto con videoregistratore locale e telecamere di fascia professionale, più facili da gestire e aggiornare in modo centralizzato.
Vuoi un impianto di videosorveglianza più sicuro e facile da gestire? PINET progetta e installa ad Alessandria impianti elettrici, fotovoltaici con batterie e wallbox, allarmi e videosorveglianza. Per un sopralluogo o un preventivo chiama lo 0131 263767 oppure scrivici dalla pagina Contattaci. Trovi i dettagli del servizio nella pagina Impianti elettrici e fotovoltaici.
Fonti: TP-Link, Security Advisory: Multiple Vulnerabilities in Tapo C120 and C200; Cybernews, TP-Link Tapo camera flaw lets hackers seize full control; SecurityOnline, Seven TP-Link Vulnerabilities Hit Tapo Cameras, Archer and Deco Routers.
