TP-Link alerta de un fallo en Kasa: 24 modelos y firmware específico

Claves de la noticia

• TP-Link divulga CVE-2026-108473, un fallo de autenticación local de gravedad alta en dispositivos Kasa.
• Su matriz contiene 23 filas y 24 nombres de producto: ES20M y KS220M comparten una entrada.
• La comprobación requiere modelo, revisión de hardware y firmware completo; actualizar la aplicación no acredita haber corregido el aparato.

TP-Link ha publicado este 14 de octubre un aviso de seguridad para enchufes, interruptores e iluminación Kasa. La documentación permite comprobar qué equipos necesitan atención, pero exige leer algo más que el nombre comercial. Un recuento de la matriz y su cruce con las guías de actualización muestran por qué una misma versión numérica no sirve como referencia universal para toda la casa.

El control local es la superficie afectada

Según el aviso del fabricante, CVE-2026-108473 afecta a la autenticación del protocolo de gestión local. Un atacante adyacente podría enviar instrucciones sin autorización adecuada y alterar el estado o los ajustes del dispositivo. TP-Link también describe una posible exposición de información de cuenta bajo determinadas condiciones de interacción entre usuario, aplicación y servicio en la nube.

La puntuación publicada es 8,7 en CVSS 4.0, gravedad alta. El alcance adyacente importa: el documento no describe un ataque arbitrario desde cualquier punto de internet. Tampoco anuncia ejecución remota de código ni una campaña de explotación activa. Presentar cualquiera de esos escenarios como demostrado ampliaría indebidamente lo que ha comunicado la empresa.

El riesgo para la cuenta está condicionado; no equivale a afirmar que todos los propietarios hayan perdido sus credenciales. Conviene separar esa posibilidad del control indebido del aparato. La respuesta verificable propuesta por TP-Link es instalar el firmware correspondiente, sin convertir una hipótesis de compromiso en un incidente confirmado.

23 filas, 24 nombres y compilaciones anteriores

Un recuento propio de la tabla, desdoblando la entrada conjunta ES20M y KS220M, da 24 nombres de producto en 23 filas. Diecinueve filas pertenecen al grupo de enchufes e interruptores y cuatro al de bombillas y tira luminosa. Es el alcance de esta matriz, no un inventario de toda la gama Kasa ni una extensión automática a productos Tapo.

Hay otra diferencia temporal: las 19 filas del primer grupo remiten a identificadores Build de 2024 o 2025; las cuatro de iluminación, a junio o julio de 2026. Por tanto, el aviso nuevo no implica 24 firmwares construidos hoy. Estos códigos tampoco prueban cuándo se distribuyó cada actualización, cuándo se descubrió el fallo o cuánto tiempo estuvo expuesto un propietario concreto.

La comparación de KP115 y KL125 resuelve una duda práctica: ambos muestran 1.1.1, pero pertenecen a productos, revisiones y compilaciones diferentes. Anotar únicamente esos tres números pierde información necesaria. La tabla es una selección consultable; la lista completa de afectados y correcciones permanece en el aviso enlazado.

El mismo principio de cruzar modelo y versión aparece en el análisis de ClingSTUN y sus distintas superficies de entrada. Aquel caso incluye un router TP-Link y otros equipos; no acredita ataques contra estos Kasa. El antecedente sirve para entender el inventario, sin mezclar vulnerabilidades diferentes.

La comprobación termina dentro del dispositivo

La guía de identificación explica cómo abrir el aparato en Kasa, entrar en ajustes y consultar Device Info. Allí aparecen revisión de hardware y firmware. Esa pareja debe cruzarse con el modelo exacto de la matriz: tener un HS103 no permite trasladar sin más la corrección de V5 a otra revisión.

Después, la guía de actualización mediante Kasa dirige a Me y Firmware Update. Requiere iniciar sesión y poder controlar el equipo; la descarga e instalación se realiza desde la nube. No debe cortarse la alimentación durante el proceso. Instalar una nueva aplicación en el móvil y actualizar el firmware del enchufe son operaciones distintas.

La verificación útil tiene tres estados: versión instalada antes, actualización ofrecida e información del dispositivo después. Solo el último permite comprobar qué software quedó realmente instalado. Si hay varios aparatos iguales, conviene repetir esa lectura individual; que uno termine no demuestra que los demás hayan recibido la corrección.

TP-Link documenta también actualizaciones de equipos compatibles mediante Tapo, desde los ajustes del dispositivo o el apartado de firmware del perfil. La ubicación puede cambiar entre versiones y la actualización automática depende del modelo. Esa alternativa de gestión no convierte todos los dispositivos Tapo en afectados por este aviso.

Sin actualización visible, conserva la referencia exacta

La documentación sobre fallos y despliegues advierte de que dos unidades del mismo modelo pueden detectar una actualización en momentos distintos. Su explicación general habla de distribución progresiva durante semanas; no fija el calendario de esta corrección para cada región. En España, la lista británica debe contrastarse con la revisión y el soporte del equipo concreto.

Si la versión indicada no aparece, conserva modelo, hardware y cadena completa de firmware para consultar al soporte. La ausencia de una oferta en la aplicación no demuestra por sí sola que el dispositivo esté corregido. También sería incorrecto interpretar un fallo de instalación como prueba de ataque. Son problemas distintos que necesitan comprobaciones distintas.

La seguridad de los aparatos conectados exige mantener ese registro, como muestra el caso de refrigeración industrial y recuperación operativa, con un entorno y unas consecuencias diferentes. Para Kasa, la conclusión concreta es conservar la correspondencia entre cada unidad y su firmware: el número de productos anunciados no sustituye la comprobación de instalación.

Imagen: Tecnología Today, escena conceptual generada con IA.