CISA Flags TP-Link Router Flaws CVE-2023-50224 and CVE-2025-9377 as Actively Exploited

Vulnérabilités Exploytées sur des Routeurs TP-Link

L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a identifié deux failles de sécurité critiques affectant des routeurs sans fil TP-Link, désormais inscrites dans son catalogue des vulnérabilités connues et exploitées. Ces vulnérabilités font l’objet d’attaques actives.

Points Clés :

• Deux vulnérabilités sur des routeurs TP-Link ont été ajoutées au catalogue KEV de la CISA en raison de leur exploitation constatée.
• Certains modèles affectés ont atteint leur fin de vie et ne reçoivent plus de mises à jour de sécurité.
• TP-Link a tout de même publié des correctifs pour ces failles face à l’activité malveillante.
• L’exploitation est liée à un botnet connu sous le nom de Quad7, potentiellement utilisé par un acteur de menace chinois.
• Une date limite est fixée pour l’application des correctifs pour les agences gouvernementales fédérales.

Vulnérabilités :

• CVE-2023-50224 (Score CVSS: 6.5) : Contournement d’authentification par usurpation dans le service httpd du TP-Link TL-WR841N, permettant la divulgation d’identifiants stockés.
• CVE-2025-9377 (Score CVSS: 8.6) : Injection de commandes système dans les TP-Link Archer C7 (EU) V2 et TL-WR841N/ND(MS) V9, pouvant mener à l’exécution de code à distance.

Modèles Affectés et Fin de Service :

• TL-WR841N (versions 10.0 et 11.0)
• TL-WR841ND (version 10.0)
• Archer C7 (versions 2.0 et 3.0)

Ces modèles ont atteint leur fin de service et ne bénéficient plus de support actif ni de mises à jour de sécurité.

Recommandations :

• Appliquer les mises à jour de firmware fournies par TP-Link pour les modèles concernés.
• Pour les appareils ayant atteint leur fin de vie et ne recevant plus de mises à jour, il est fortement recommandé de passer à du matériel plus récent afin de garantir une sécurité et des performances optimales.
• Les agences gouvernementales fédérales doivent impérativement appliquer les correctifs avant le 24 septembre 2025.

Source