Luka CVE-2023-33538 w routerach TP-Link. Botnety atakują wadliwie, ale zagrożenie jest realne

Firma Palo Alto Networks opublikowała szczegółową analizę prób wykorzystania CVE-2023-33538 – podatności dotyczącej kilku wycofanych z produkcji modeli routerów Wi-Fi firmy TP-Link. Badacze z zespołu Unit 42 potwierdzili, że choć obserwowane w praktyce ataki zawierają błędy uniemożliwiające skuteczne zainfekowanie urządzeń, sama luka jest prawdziwa i stanowi realne zagrożenie dla użytkowników nieaktualnego sprzętu sieciowego.

Które urządzenia są zagrożone

Podatność dotyczy sześciu modeli routerów TP-Link, które od dawna nie otrzymują już aktualizacji oprogramowania. Są to: TL-WR940N v2 i v4, TL-WR740N v1 i v2 oraz TL-WR841N v8 i v10. Wszystkie te urządzenia zostały wycofane ze wsparcia technicznego, co oznacza, że producent nie udostępni dla nich żadnych poprawek bezpieczeństwa.

Luka znajduje się w interfejsie webowym routera, konkretnie w endpoincie /userRpm/WlanNetworkRpm, który obsługuje konfigurację sieci bezprzewodowej. Problem polega na niewłaściwej walidacji parametru ssid1 przesyłanego w żądaniu HTTP GET. Atakujący może wstrzyknąć do tego parametru dowolne polecenia systemowe, które router wykona bez odpowiedniego filtrowania danych wejściowych.

Jak wyglądają próby ataków

Badacze Unit 42 zaobserwowali masowe skanowanie sieci w poszukiwaniu podatnych urządzeń. Ataki nasiliły się po tym, jak amerykańska agencja CISA dodała tę lukę do katalogu Known Exploited Vulnerabilities w czerwcu 2025 roku. Typowe żądanie wykorzystujące podatność próbuje pobrać złośliwe oprogramowanie z zewnętrznego serwera, nadać mu uprawnienia do wykonania, a następnie uruchomić je na routerze.

Pobierane pliki binarne noszą nazwy sugerujące różne architektury procesorów, takie jak arm7, i są wariantami znanego botnetu Mirai. Analiza kodu ujawniła również powiązania z botnetem Condi – w plikach wielokrotnie pojawia się ciąg znaków „condi”. Po zainstalowaniu złośliwe oprogramowanie łączy się z serwerem kontrolnym, oczekuje na polecenia i może uczestniczyć w atakach DDoS lub pobierać kolejne komponenty.

Dlaczego ataki nie działają – ale zagrożenie pozostaje

Kluczowe odkrycie zespołu Unit 42 dotyczy dwóch aspektów. Po pierwsze, obserwowane w praktyce próby exploitacji zawierają błędy w kodzie, które uniemożliwiają skuteczne zainfekowanie routera. Badacze przeprowadzili emulację firmware’u routera TL-WR940N i potwierdzili, że konkretne warianty ataków wykryte w telemetrii nie działają poprawnie.

Po drugie – i to najważniejsze – sama podatność jest rzeczywista i możliwa do wykorzystania. Warunek konieczny to jednak uwierzytelnienie w interfejsie webowym routera. Atakujący musi znać login i hasło administratora. W praktyce oznacza to, że urządzenia z domyślnymi danymi logowania (admin:admin) są szczególnie narażone. Niestety, jak pokazują statystyki, ogromna liczba użytkowników nigdy nie zmienia fabrycznych haseł w routerach domowych.

Co zaleca producent i eksperci

TP-Link oficjalnie potwierdził, że dotknięte urządzenia nie otrzymają poprawek bezpieczeństwa ze względu na zakończenie ich cyklu życia. Firma zaleca wymianę sprzętu na nowsze modele objęte wsparciem technicznym oraz bezwzględną zmianę domyślnych danych logowania we wszystkich urządzeniach sieciowych.

Badacze zaznaczają, że choć obecnie obserwowane kampanie botnetowe wykorzystują wadliwy kod exploita, sytuacja może się szybko zmienić. Publikacja działającego proof-of-concept w czerwcu 2023 roku oznacza, że wiedza o skutecznym wykorzystaniu luki jest dostępna publicznie. Wystarczy, że bardziej kompetentni operatorzy botnetów poprawią błędy w swoim kodzie, aby zagrożenie stało się realne na masową skalę.

Szerszy kontekst bezpieczeństwa IoT

Historia CVE-2023-33538 ilustruje szerszy problem bezpieczeństwa urządzeń internetu rzeczy. Routery domowe, kamery IP, inteligentne gniazdka i inne urządzenia często otrzymują wsparcie producenta tylko przez kilka lat, po czym stają się potencjalnym zagrożeniem w sieci domowej. Użytkownicy rzadko zdają sobie sprawę, że ich sprzęt nie jest już aktualizowany, a wykryte podatności pozostają niełatane.

Dodatkowym problemem jest powszechne stosowanie domyślnych haseł. Nawet jeśli konkretna luka wymaga uwierzytelnienia, miliony urządzeń na świecie pozostają dostępne dla każdego, kto zna fabryczne dane logowania danego modelu. Właśnie ta kombinacja – stary sprzęt bez wsparcia i niezmienione hasła – tworzy idealny cel dla operatorów botnetów.

Administratorzy sieci domowych i małych firm powinni regularnie weryfikować, czy ich urządzenia sieciowe nadal otrzymują aktualizacje bezpieczeństwa. Jeśli router ma więcej niż pięć lat i producent nie publikuje już dla niego nowego oprogramowania, warto rozważyć jego wymianę. Inwestycja, która może uchronić przed włączeniem domowej sieci do botnetu wykorzystywanego do ataków na inne cele w internecie.