Vulnerabilidade em câmaras permite controlo remoto

A TP-Link lançou correções de segurança para uma vulnerabilidade de elevada severidade que afeta mais de 32 modelos das câmaras profissionais de videovigilância das gamas VIGI C e VIGI InSight. A falha, identificada como CVE-2026-0629, permite a um atacante obter acesso administrativo completo aos dispositivos.

De acordo com um aviso de segurança publicado pela TP-Link, a vulnerabilidade consiste num bypass de autenticação no mecanismo de recuperação de palavra-passe da interface web local das câmaras. A falha permite que um atacante presente na rede local redefina a palavra-passe de administrador sem qualquer verificação, através da manipulação do estado do lado do cliente.

A vulnerabilidade foi descoberta por Arko Dhar, cofundador e CTO da empresa de cibersegurança IoT Redinent Innovations. Em declarações à SecurityWeek, o investigador explicou que a exploração bem-sucedida da falha concede controlo total sobre a câmara, incluindo acesso ao feed de vídeo e às restantes funcionalidades do dispositivo.

Embora a TP-Link refira que o ataque exige acesso à rede local, o investigador alertou que a vulnerabilidade pode ser explorada remotamente em dispositivos expostos à Internet. No momento da descoberta, em outubro de 2025, foram identificadas mais de 2.500 câmaras acessíveis online potencialmente vulneráveis, considerando apenas um dos modelos afetados. O número real de dispositivos expostos poderá ser significativamente superior quando incluídos todos os modelos impactados.

As câmaras VIGI da TP-Link são utilizadas por organizações em mais de 36 países e regiões, sobretudo na Europa, Sudeste Asiático e Américas. Embora o catálogo de vulnerabilidades conhecidas exploradas da CISA inclua atualmente várias falhas da TP-Link, estas incidem sobretudo em routers e extensores de rede. Ainda assim, ataques a câmaras de videovigilância de diferentes fabricantes são frequentes, o que reforça a necessidade de aplicar as atualizações disponibilizadas.

A TP-Link recomenda que as organizações afetadas procedam de imediato à atualização do firmware das câmaras para as versões corrigidas, reduzindo o risco de acesso não autorizado e comprometimento de sistemas de videovigilância.