Domowa smart camera nie jest zwykłym gadżetem. Może kosztować niewiele, ale obserwuje korytarz, pokój dziecka, garaż, sklep albo domowe biuro. Łączy się z Wi‑Fi, kontem w chmurze, dostaje firmware i czasem zna lokalizację domu. Dlatego lipcowy advisory TP-Link dla Kasa EC70 v4 i EC71 v4 to więcej niż dwie CVE: kamera wewnętrzna jest relacją zaufania z producentem.

Domowa smart camera z sygnałami aktualizacji firmware i bezpieczeństwa sieci

Jeśli masz Kasa EC70 v4 albo EC71 v4, zaktualizuj firmware i aplikację Kasa teraz. Oficjalny advisory TP-Link z 15 lipca opisuje CVE-2026-9770 i CVE-2026-13230, ryzyka local-network information disclosure oraz poprawki w firmware 2.4.0 Build 20260520 rel.4191 i 2.4.1 Build 20260621 rel.76536. Szersza lekcja: kupując tanią kamerę cloud, kupujesz też kulturę aktualizacji, lokalny protokół, architekturę konta i ustawienia prywatności.

Co potwierdził TP-Link

Dotyczy to Kasa EC70 v4 i EC71 v4. CVE-2026-9770 to hardcoded cryptographic key, który może pozwolić atakującemu w lokalnej sieci naruszyć poufność komunikacji z web management interface i przechwycić admin credentials przez MITM. Score: 8.6 High.

CVE-2026-13230 dotyczy local discovery response i może ujawniać geolocation information bez uwierzytelnienia osobie w tej samej lokalnej sieci. Score: 5.3 Medium, wpływ na poufność.

Nie należy rozszerzać zakresu: advisory nie opisuje globalnego ataku z internetu w normalnej konfiguracji, nie obejmuje wszystkich Kasa/Tapo i nie dowodzi bezpośredniego dostępu do live video bez lokalnego dostępu.

Co dodał badacz

Raport Christophera Childressa / BadChemical o Kasa Spot EC71 firmware 2.3.26 opisuje firmware extraction, network analysis, fleet-wide RSA material, unsalted MD5, unauthenticated GPS exposure i możliwe previous-owner data po factory reset. TP-Link potwierdza CVE i ogólne klasy problemu; mocniejsze szczegóły trzeba przypisywać badaczowi.

Wniosek dla użytkownika: aktualizować, segmentować sieć i ostrzej oceniać kolejne kamery.

Dlaczego lokalna sieć nadal jest ryzykiem

Local network to mniej niż otwarty internet, ale nie zero. Domowa sieć ma gości, telefony, smart TV, tanie IoT, laptopy służbowe i stare routery. W Airbnb, współdzielonym mieszkaniu albo małym biurze “lokalnie” może znaczyć dużo nie w pełni zaufanych urządzeń.

Kamera stoi w prywatnej przestrzeni. Lokalizacja, identyfikatory i credentials są wrażliwe. Kamery powinny działać w guest/VLAN/IoT network bez swobodnego dostępu do laptopów, NAS i telefonów. Unikaj port forwarding, DMZ i skrótów typu “żeby aplikacja działała”.

Co zrobić teraz

Sprawdź model i hardware version. Jeśli to EC70 v4 albo EC71 v4, zaktualizuj firmware przez Kasa app lub TP-Link support pages, zrestartuj i potwierdź wersję. Zaktualizuj też aplikację mobilną.

Odizoluj kamerę. Usuń stare port forwards, wyłącz UPnP jeśli niepotrzebne, nie dawaj main Wi‑Fi gościom. W małej firmie dokumentuj kamery, firmware i segment sieci.

Jeśli martwisz się o credentials, zmień hasło TP-Link ID, włącz MFA jeśli jest i usuń stare devices. Używane kamery resetuj, aktualizuj i testuj najpierw w izolowanej sieci.

Jak kupować następną kamerę

Do checklisty dodaj update history, public advisories, local storage, RTSP/ONVIF, HomeKit Secure Video, local NVR, jasną privacy policy i pracę w sieci segmentowanej. Szukaj oznak per-device identity, a nie shared fleet secrets.

Czytaj sekcje o location, device identifiers, diagnostics, cloud recordings and third parties. Lokalizacja może być potrzebna do setupu, ale powinna być konieczna, wyjaśniona, minimalna i chroniona.

Alternatywy

HomeKit Secure Video może pomóc w domach Apple. Lokalne NVR Reolink albo UniFi dają więcej kontroli, ale kosztują więcej. RTSP/ONVIF zmniejsza zależność od chmury, ale nadal wymaga haseł, aktualizacji i izolacji.

Werdykt

Historia Kasa EC70/EC71 jest załatana, ale ważna. Właściciele powinni aktualizować i segmentować. Kupujący nie powinni patrzeć tylko na cenę i obraz. Do sypialni, pokoju dziecka albo opieki nad seniorem wymagaj lepszej historii aktualizacji, lokalnych opcji i jasnej prywatności — albo zrezygnuj z cloud camera.