TP-Link нашла две уязвимости в умных камерах Kasa EC70 v4 и EC71 v4, которые позволяют любому в той же локальной сети перехватить учётные данные администратора и вытащить геолокацию устройства. Главная дыра, CVE-2026-9770 на 8,6 балла по CVSS v4.0, сидит в зашитом криптографическом ключе внутри прошивки. Он один на все устройства. Взломщик в той же сети проводит MITM-атаку, перехватывает трафик между камерой и её веб-интерфейсом и добирается до пароля админа. Вскрыв одну камеру, он получает метод для всех остальных. Вторая уязвимость, CVE-2026-13230 на 5,3 балла, живёт в механизме локального обнаружения камеры. Функция отвечает на запросы без всякой аутентификации, потому что нужна для сопряжения и настройки сети. Хакер шлёт специально сформированный запрос и получает геолокацию устройства без единого клика от пользователя. Камера наблюдения сама докладывает, где именно она стоит. TP-Link уже выпустила заплатки. Для EC70 v4 обе дыры закрыты в прошивке 2.4.0 Build 20260520, а для EC71 v4 это версия 2.4.1 Build 20260621. Компания советует немедленно обновить прошивку через официальные страницы поддержки и подтянуть мобильное приложение до совместимой версии.