Se in azienda hai access point bianchi appesi al soffitto, uno switch nel quadro e un pannello di gestione che si chiama Omada, questa notizia ti riguarda — anche se non l’hai scelta tu quella rete, e soprattutto se l’ha montata qualcuno tre anni fa e da allora nessuno l’ha piu’ toccata.
Il 4 agosto i ricercatori di Forescout Research - Vedere Labs hanno divulgato 15 vulnerabilita’ nell’ecosistema di rete TP-Link Omada. Undici hanno gia’ un codice identificativo ufficiale (CVE), quattro no. La ricerca e’ stata presentata alla conferenza Black Hat negli Stati Uniti e ripresa nello stesso giorno da SecurityWeek e BleepingComputer.
Ma il numero che conta davvero per chi fa impresa non e’ 15. E’ 1.800.
Il dato che dovrebbe far alzare il telefono
Nel corso della ricerca Forescout ha contato oltre 1.800 pannelli di controllo Omada raggiungibili direttamente da Internet. Non dispositivi qualsiasi: la console da cui si amministra tutta la rete di un’azienda.
Un pannello di gestione della rete non dovrebbe essere aperto al mondo. Ci finisce quasi sempre per lo stesso motivo, e non e’ cattiva volonta’: serviva al tecnico per collegarsi da casa. Si apre una porta “solo per il momento”, il momento dura tre anni, e nel frattempo il momento se lo dimentica anche il tecnico.
E' il conteggio riportato da Forescout nella ricerca divulgata il 4 agosto 2026. Non e' il numero delle aziende vulnerabili: e' il numero di quelle che hanno lasciato aperta la porta d'ingresso principale della propria rete.
Fonte: Forescout Research - Vedere Labs, via SecurityWeek e BleepingComputer — 4 agosto 2026
Cos’e’ il “provisioning automatico”, senza gergo
Le falle non stanno nel Wi-Fi. Stanno nel meccanismo che i produttori chiamano zero-touch provisioning: quando colleghi un apparato nuovo, quello si accende, chiama casa, viene riconosciuto e riceve automaticamente la configurazione giusta. E’ comodissimo — soprattutto per chi gestisce reti in piu’ sedi o piu’ clienti — perche’ evita di configurare a mano ogni scatola.
Il problema e’ che questo automatismo, per funzionare, deve fidarsi. E secondo la ricerca la fiducia era mal riposta in piu’ punti: chiavi crittografiche scritte dentro il firmware e quindi uguali per tutti, credenziali del sito trasmesse in modo poco protetto, controlli deboli sui certificati (che aprono alla possibilita’ di mettersi in mezzo alla comunicazione), una finestra temporale sfruttabile nel momento in cui un dispositivo viene adottato dal cloud, e una falla nell’interfaccia web del controller.
Prese una per una, alcune sono problemi minori. Concatenate, secondo i ricercatori, portano al controllo di intere flotte di dispositivi gestiti.
Perche’ “aggiorna e sei a posto” qui non basta
Questa e’ la parte che va detta con onesta’, ed e’ anche il motivo per cui il pezzo non finisce con la solita riga sull’aggiornamento.
TP-Link ha pubblicato correzioni e avvisi, ma — riporta SecurityWeek — solo per una parte dei problemi segnalati. Le correzioni piu’ strutturali potrebbero arrivare piu’ avanti nel 2026, e alcune falle classificate a bassa severita’ non verranno corrette affatto.
Tradotto per chi deve decidere: aggiornare il firmware e’ necessario e va fatto, ma non chiude la questione. La difesa che regge nel tempo e’ architetturale, non un bottone da premere.
Se il pannello di amministrazione non e' raggiungibile da Internet, gran parte di questa catena di attacco non ha nemmeno un punto da cui iniziare. E' una scelta di configurazione, non un aggiornamento — e resta valida anche per le falle che non verranno mai corrette.
Un elemento di equilibrio, perche’ serve: nessuna delle due fonti documenta attacchi reali in corso che sfruttino queste falle. Non e’ una situazione d’emergenza. E’ una manutenzione da fare prima che diventi tale — con il vantaggio, in agosto, che spegnere e riaccendere qualcosa in ufficio disturba meno persone.
Le tre mosse concrete
Nessuna richiede competenze tecniche: richiedono che qualcuno le faccia, o che tu chieda a chi gestisce la rete di farle.
- Chiedi se il pannello Omada e’ raggiungibile da fuori. E’ la domanda numero uno. Se la risposta e’ si’, o e’ un “in realta’ non lo so”, hai trovato il lavoro della settimana. L’accesso da remoto per il tecnico si puo’ fare in modo protetto, ma va fatto apposta, non lasciando la porta socchiusa.
- Aggiorna il firmware di tutto l’ecosistema, telecamere comprese. Non solo il controller: gateway, switch, access point, app mobili e i dispositivi VIGI o Tapo collegati. Il portale di download del produttore e’ il riferimento.
- Sistema le credenziali di amministrazione. Password forte e diversa da quelle usate altrove, autenticazione a due fattori dove disponibile. E se hai il sospetto che qualcuno sia gia’ entrato, vanno rigenerati i segreti di configurazione — cambiare solo la password non basta.
Il punto che resta
Omada e’ popolare tra le piccole imprese italiane proprio per la ragione giusta: costa poco e funziona. Il rovescio della medaglia e’ che finisce spesso in aziende senza un presidio informatico interno, dove nessuno legge gli avvisi di sicurezza del produttore e la rete viene considerata un elettrodomestico.
Non lo e’. E la lezione trasferibile, valida anche per chi ha apparati di tutt’altra marca, e’ una sola: la comodita’ di accedere da remoto e la sicurezza della rete si pagano l’una con l’altra. Se nessuno ha mai deciso consapevolmente quel compromesso in azienda, e’ stato deciso per inerzia — e quasi sempre nella direzione sbagliata.