A sua câmara Tapo pode estar a abrir a porta da sua rede: o que fazer já

A empresa de segurança OPSWAT publicou os detalhes técnicos de um ataque encadeado contra duas câmaras de vigilância domésticas muito vendidas da TP-Link. As câmaras afetadas são a Tapo C200 (versão de hardware V5) e a Tapo C120 (V1). Segundo os investigadores, uma vulnerabilidade de injeção de comandos, combinada com uma falha de autenticação já divulgada, permite que um atacante sem credenciais e ligado à mesma rede local execute comandos do sistema operativo nas câmaras afetadas. A TP-Link já disponibilizou firmware corrigido. Não há registo de exploração ativa, mas qualquer câmara que não tenha sido atualizada continua exposta a quem consiga entrar na rede Wi-Fi.

De uma falha de autenticação ao controlo total

A investigação foi feita pela Unit 515, a equipa de investigação ofensiva da OPSWAT. Começou com duas falhas divulgadas em agosto. A mais séria, a CVE-2026-15315, é uma falha de autenticação na interface de gestão local da câmara. Através de um ataque de repetição (replay), um atacante sem autenticação consegue obter uma sessão de administrador válida sem conhecer a palavra-passe.

Só por si, esta falha já permitia controlar a câmara e ver as imagens. O novo relatório da OPSWAT, publicado a 16 de outubro com o título From Authentication Bypass to Full Camera Compromise, mostra que o risco é maior do que isso. A 1 de outubro, a TP-Link publicou mais quatro CVE resultantes da mesma investigação, o que eleva o total para seis. Uma delas, a CVE-2026-102369, é descrita como a peça que faltava para completar a cadeia de exploração.

O problema está num componente que o utilizador comum nunca vê. Trata-se do TMPD, um serviço de diagnóstico de fábrica. Através da interface MacTool, este serviço oferece funções de fabrico e manutenção, como diagnóstico de hardware, configuração do dispositivo e transferência de ficheiros por TFTP. Uma ferramenta pensada para a linha de montagem acabou por ficar acessível no firmware em uso nas casas dos clientes.

Como funciona o ataque

A descrição oficial da vulnerabilidade divide o ataque em três fases. Primeiro, o atacante repete um desafio de autenticação que capturou e obtém assim uma sessão de administrador. Depois, ativa um serviço privilegiado que só fica disponível após um reinício da câmara. Por fim, envia dados manipulados ao processo MacTool e consegue executar comandos arbitrários. O resultado é o comprometimento total da confidencialidade, integridade e disponibilidade da câmara.

A OPSWAT testou a cadeia completa em laboratório e alerta para consequências que vão além da própria câmara. Segundo os investigadores, os atacantes poderiam controlar totalmente o dispositivo, instalar malware, manter acesso persistente e usar a câmara para atacar outros sistemas que ela consiga alcançar na rede. Para evitar abusos, a empresa não publicou os passos detalhados de exploração nem código de ataque.

Há um fator que reduz o risco: o ataque exige estar na rede local. O vetor CVSS da CVE-2026-102369 classifica o ataque como feito a partir de uma rede adjacente, com baixa complexidade, sem privilégios e sem qualquer interação do utilizador. Na prática, o atacante precisa primeiro de entrar no Wi-Fi ou na rede cablada, por exemplo através de uma palavra-passe fraca, de outro equipamento já comprometido ou de uma rede partilhada num escritório.

As seis vulnerabilidades e as versões corrigidas

Além da cadeia principal, o aviso de segurança da TP-Link descreve três falhas no serviço de configuração inicial (onboarding). Uma delas permite obter informação sobre redes sem fios próximas: depois da configuração inicial, um atacante sem autenticação na rede local pode obter dados dos pontos de acesso vizinhos, como SSID, BSSID, modos de cifra e intensidade do sinal. Há também uma discrepância no aviso: o título refere a CVE-2026-78579, mas a descrição e os registos CVE identificam esta falha como CVE-2026-78577.

Segundo o registo CVE, estão vulneráveis a Tapo C200 v5 com firmware anterior a V5_1.4.6 Build 260709 Rel.27675n e a Tapo C120 v1 com firmware anterior a V1_1.9.4 Build 260813 Rel.79754n. Quem instalou as atualizações de agosto na C200 V5 já deve estar protegido, porque a versão corretiva é a mesma.

Cronologia da divulgação

As datas de comunicação e confirmação constam da cronologia de divulgação coordenada: o primeiro reporte foi feito a 16 de abril e a TP-Link confirmou os problemas a 10 de julho, depois de analisar o relatório. Segundo a OPSWAT, as vulnerabilidades foram descobertas por Khoi Tran, com a orientação de Thai Do, ambos da Unit 515.

Há exploração ativa? E indicadores de comprometimento?

Até à data desta publicação, não há indícios públicos de ataques reais. Não foi confirmado código de exploração público e a CVE-2026-102369 não consta do catálogo de vulnerabilidades exploradas da CISA (KEV). Nem a OPSWAT nem a TP-Link publicaram indicadores de comprometimento (IOC). Ainda assim, há sinais que justificam verificar a câmara:

• reinícios inesperados ou repetidos da câmara;
• perda de ligação ao Wi-Fi sem razão aparente, ou alterações na configuração de rede;
• equipamentos desconhecidos na lista de dispositivos ligados ao router;
• tráfego de saída anormal a partir do endereço IP da câmara, se tiver ferramentas para o monitorizar.

O que fazer já

• Confirmar o modelo e a versão de hardware. A etiqueta da câmara ou a aplicação Tapo indicam se tem uma C200 V5 ou uma C120 V1.
• Atualizar o firmware na aplicação Tapo para V5_1.4.6 Build 260709 (C200 V5) ou V1_1.9.4 Build 260813 (C120 V1), ou para uma versão posterior.
• Separar os equipamentos IoT. Isolar as câmaras numa VLAN própria impede que atacantes na rede local cheguem até elas. Em casa, a rede de convidados do router pode ter o mesmo efeito.
• Proteger o Wi-Fi com WPA2 ou WPA3 e uma palavra-passe forte, e não partilhar a rede principal com visitas.
• Não expor as câmaras à Internet. A OPSWAT recomenda que as interfaces de gestão das câmaras não fiquem acessíveis a partir de redes não confiáveis. Evite reencaminhamento de portas (port forwarding) para estes equipamentos.
• Ativar as atualizações automáticas na aplicação, quando essa opção existir, e consultar regularmente os avisos de segurança do fabricante.

Porque é que isto importa em Portugal

As câmaras Tapo são baratas e fáceis de instalar, por isso aparecem em casas, lojas, consultórios e pequenos escritórios. Uma câmara comprometida pode expor imagens privadas. Pode também servir de ponto de entrada permanente na rede, a partir do qual um atacante chega a computadores, servidores de ficheiros ou sistemas de pagamento.

Para as empresas, o risco tem também uma dimensão legal. As imagens de videovigilância de pessoas identificáveis são dados pessoais ao abrigo do RGPD. Um acesso indevido às gravações pode ser uma violação de dados que tem de ser comunicada à CNPD. As entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) têm de gerir os riscos dos seus ativos, incluindo os equipamentos IoT ligados à rede, e notificar incidentes significativos ao CNCS. O CERT.PT recebe notificações e pedidos de apoio em caso de incidente.

O caso mostra ainda um problema comum na Internet das Coisas: ferramentas de fábrica e de diagnóstico que continuam ativas no firmware de produção. O Regulamento de Ciber-Resiliência europeu procura responder a isto ao exigir aos fabricantes de produtos com elementos digitais segurança desde a conceção e gestão de vulnerabilidades ao longo de todo o ciclo de vida.

Perguntas frequentes

Que câmaras Tapo estão afetadas?

Segundo a TP-Link, estão afetadas a Tapo C200 com hardware V5 e a Tapo C120 com hardware V1, quando têm firmware anterior às versões V5_1.4.6 Build 260709 e V1_1.9.4 Build 260813, respetivamente. Outros modelos e versões de hardware não constam deste aviso.

Um atacante pode explorar estas falhas pela Internet?

Não diretamente. O ataque exige acesso à mesma rede local da câmara, por exemplo através do Wi-Fi. Por isso, uma palavra-passe de Wi-Fi forte e a separação das câmaras dos restantes equipamentos reduzem muito o risco.

As vulnerabilidades já estão a ser exploradas?

Não há registo público de exploração ativa nem de código de ataque publicado. A CVE-2026-102369 não consta do catálogo KEV da CISA. Ainda assim, recomenda-se atualizar de imediato, porque os detalhes técnicos já são públicos.

Como atualizo a minha câmara Tapo?

Abra a aplicação Tapo, selecione a câmara e procure a opção de atualização de firmware nas definições do dispositivo. Confirme no fim que a versão instalada é igual ou posterior à indicada no aviso da TP-Link.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela OPSWAT (relatório de agosto), pela TP-Link e no registo CVE-2026-102369.