TP-Link Archer MR600 e TL-MR6400 vulnerabili: firmware da aggiornare

Se usi un TP-Link Archer MR600 o TL-MR6400, controlla subito la revisione hardware e il firmware installato. TP-Link ha corretto due vulnerabilità, CVE-2026-76652 e CVE-2026-76653, che riguardano specifiche revisioni dei due router 4G. La misura utile non è cambiare configurazione a caso: identifica il modello esatto e installa il firmware corretto per la tua revisione e regione.

Qual è il rischio di CVE-2026-76652 e CVE-2026-76653

Nel proprio advisory ufficiale, TP-Link descrive due problemi distinti. CVE-2026-76652 riguarda la gestione del caricamento dei file: un utente già autenticato con accesso alla funzione interessata potrebbe scrivere un file fuori dalla directory prevista. TP-Link precisa che non è stata dimostrata l’esecuzione arbitraria di codice.

CVE-2026-76653 riguarda invece la gestione della configurazione VPN e non richiede autenticazione nelle condizioni descritte dal vendor. Un attaccante raggiungibile sulla rete prevista dal vettore della vulnerabilità potrebbe accedere o modificare informazioni della configurazione VPN. TP-Link assegna alle due falle gravità media secondo CVSS 4.0 e raccomanda l’aggiornamento del firmware.

1. Identifica modello e revisione hardware

Prima di scaricare qualsiasi file, controlla l’etichetta del router oppure la pagina di stato dell’interfaccia di amministrazione. Devi distinguere, per esempio, un Archer MR600 V2 da un V3 o V5. La revisione hardware è parte del requisito di compatibilità del firmware.

Non usare la sola sigla commerciale come riferimento. Un firmware pensato per un’altra revisione o per un’altra regione può non essere adatto al tuo dispositivo.

2. Confronta la versione del firmware

Apri il pannello di gestione del router e cerca la sezione relativa al firmware o all’aggiornamento di sistema. Confronta la versione installata con quella indicata da TP-Link per la tua revisione. Se la build è precedente a quella corretta, aggiorna usando il canale ufficiale previsto dal produttore.

Se stai già controllando altri dispositivi del marchio, consulta anche la nostra panoramica sui router TP-Link vulnerabili e i firmware da aggiornare. Per il Deco BE11000 abbiamo inoltre una guida separata dedicata alla CVE-2026-17176, che è un problema diverso e non va confuso con queste due CVE.

3. Aggiorna senza forzare firmware di altre regioni

Quando l’aggiornamento automatico è disponibile, usalo. Se devi installare manualmente il firmware, scaricalo dalla pagina TP-Link relativa a modello, revisione hardware e regione. Per Archer MR600 l’advisory riporta esplicitamente build europee per più revisioni, un dettaglio importante anche per chi usa il router in Italia.

Durante l’aggiornamento non scollegare l’alimentazione. Se il pannello permette di esportare la configurazione, un backup può essere utile, ma non sostituisce la patch.

4. Dopo l’aggiornamento verifica davvero la build

Al termine, riapri l’interfaccia del router e controlla che il numero di versione sia cambiato. Verifica poi connessione 4G, Wi-Fi, rete cablata ed eventuali profili VPN. Se il firmware corretto non è ancora disponibile nel canale regionale del tuo dispositivo, usa il supporto ufficiale TP-Link invece di installare pacchetti destinati ad altre revisioni.

Cosa evitare

• Non installare firmware di una revisione hardware diversa.
• Non esporre inutilmente l’interfaccia di amministrazione del router.
• Non considerare il reset di fabbrica una correzione della vulnerabilità.
• Non confondere CVE-2026-76652 e CVE-2026-76653 con altre falle TP-Link già corrette su modelli differenti.
• Non rimandare l’aggiornamento solo perché il router continua a funzionare normalmente.

Verifica finale

Il controllo è concluso quando hai identificato modello e revisione, verificato che la build installata sia quella corretta o una successiva fornita da TP-Link e confermato che il router sia tornato operativo. Se possiedi un Archer MR600 V2, V3 o V5 oppure un TL-MR6400 V8, questa verifica è più utile di modifiche generiche alle impostazioni di rete.