Router TP-Link fornito dal Suo provider: l'aggiornamento non è di Sua competenza

Nel Suo corridoio c’è un dispositivo che non ha mai acquistato. Appartiene al Suo provider Internet, per il quale paga pochi euro al mese, e dal giorno in cui è stato installato probabilmente non lo ha mai guardato nemmeno una volta.

Il 10 agosto TP-Link ha pubblicato un elenco in cui potrebbe figurare questo dispositivo.

L’avviso è intitolato «Vulnerabilità multiple nei prodotti di rete TP-Link gestiti dagli ISP» e descrive cinque vulnerabilità presenti nei dispositivi che i provider Internet forniscono ai propri clienti. La tabella al suo interno elenca 65 modelli. Uno di questi è il VX800v(DE), e su quel modello è presente una croce in tutte e cinque le colonne.

Si tratta proprio del dispositivo che M-net noleggia ai clienti privati a Monaco, Augusta e nell’Allgäu. Quattro euro al mese, un router «tutto in uno» per ADSL e fibra ottica.

Cosa consente effettivamente questa vulnerabilità

La più grave delle cinque vulnerabilità è registrata con il codice CVE-2025-30237, il numero univoco con cui vengono catalogate le vulnerabilità di sicurezza a livello mondiale. TP-Link la descrive come un controllo degli accessi non funzionante nell’interfaccia web del router. Alcune richieste non verificano mai se chi le ha inviate abbia effettuato l’accesso.

Chiunque formuli la richiesta corretta può accedere a funzioni che dovrebbero essere riservate all’amministratore. Non sono necessarie credenziali valide. La password impostata durante la configurazione non ha alcuna rilevanza in questo contesto, poiché in quella fase a nessuno viene richiesta.

Ed ora il limite, senza il quale il resto di questa descrizione risulterebbe allarmistica. L’autore dell’attacco deve trovarsi sulla stessa rete. Non si tratta di un attacco che si diffonde tramite Internet contro ogni connessione. Colpisce chi consente agli ospiti di accedere alla rete Wi-Fi principale, chi condivide un appartamento o vive in un edificio con un’unica rete condivisa, oppure chi ha già al proprio interno un dispositivo infetto. Finora non è noto alcun codice di exploit pubblico e non vi sono attacchi documentati.

Ciò non lo rende innocuo. Sposta semplicemente la questione. La domanda non è se qualcuno vi attaccherà domani. È chi colmerà la falla.

Non spetta a Lei risolvere il problema

Con un router acquistato in un negozio di elettronica la storia finirebbe qui. Scaricare il firmware, installarlo, fatto.

Con un dispositivo fornito dal proprio provider, invece, non è così. TP-Link scrive nello stesso avviso:

«Per i dispositivi interessati che utilizzano firmware gestito dall’ISP, le operazioni di risoluzione del problema saranno coordinate tramite i rispettivi fornitori di servizi Internet.»

E poche righe più avanti:

«Le immagini del firmware per le varianti specifiche degli ISP interessati potrebbero non essere disponibili pubblicamente per il download diretto.»

In parole povere, non esiste alcun file che possiate scaricare. È il provider a decidere quando arriva l’aggiornamento, e lo decide per tutti i propri clienti contemporaneamente. Se ne accorgerà solo una volta che sarà avvenuto. Oppure non se ne accorgerà affatto.

Questo è il vero nocciolo della questione. Non la vulnerabilità, bensì la responsabilità. Il dispositivo si trova a casa Sua, è collegato alla Sua linea, ogni telefono e ogni televisore della famiglia passa attraverso di esso. E l’unica parte in grado di apportare modifiche al riguardo si trova altrove.

Per il modello VX800v, TP-Link indica la versione 800.0.16 come quella corretta. Se sia già in esecuzione sul Suo dispositivo è indicato nell’interfaccia web del Suo router.

Non si tratta nemmeno di stabilire se ciò La riguardi

Due frasi nelle note a piè di pagina della tabella rendono la questione ancora più complessa.

«L’applicabilità dettagliata a livello di SKU varia a seconda dell’implementazione dell’ISP e non è pubblicamente specificata.»

«L’applicabilità si basa sull’analisi di modelli generici, poiché le varianti specifiche per ciascun ISP potrebbero differire.»

Ciò che TP-Link elenca in quella sede sono le versioni generiche destinate alla vendita al dettaglio. Quale build venga effettivamente fornita da un determinato provider, come sia stata adattata e se presenti le stesse vulnerabilità non è reso pubblico da nessuna parte. E non per caso, ma per una politica dichiarata.

Pertanto, dal proprio salotto non è possibile risolvere nemmeno la questione più semplice. Si legge il modello sull’adesivo, lo si trova nell’elenco, ma non si sa ancora se la propria variante ne faccia parte. L’unico soggetto in grado di fornirvi questa informazione è proprio colui che detiene l’aggiornamento.

Cosa potete comunque fare

L’adesivo sul lato inferiore riporta il modello. Se il nome inizia con HB, HX, HC, EB, EC, EX, XC, XX o VX, vale la pena dare un’occhiata all’elenco.

La versione del firmware è riportata nell’interfaccia web del router, solitamente nella sezione «Strumenti di sistema» o «Informazioni sul dispositivo». Se è precedente alla versione corretta, chieda al Suo provider quando sarà disponibile l’aggiornamento. Questa domanda è l’unica leva a Sua disposizione e funziona meglio se viene posta da molte persone.

Fino ad allora, due accorgimenti possono essere di immediato aiuto. Disattivi l’accesso remoto e la gestione remota nella misura consentita dall’interfaccia. E configuri una rete ospite per i visitatori. Consentire agli ospiti di accedere alla rete Wi-Fi principale elimina proprio la condizione che rende difficile questo attacco.

Il produttore ha una storia alle spalle

Il fatto che sia proprio TP-Link a pubblicare questo elenco non è una coincidenza. L’azienda è sotto esame da mesi.

L’agenzia statunitense per la sicurezza informatica CISA elenca diverse vulnerabilità di TP-Link nel proprio catalogo delle vulnerabilità note per essere state sfruttate, la più datata delle quali risale al 2015. Nel febbraio 2026 il procuratore generale del Texas ha citato in giudizio l’azienda, sostenendo che i router fossero stati pubblicizzati come sicuri mentre permanevano aperte delle falle note nel firmware. A marzo l’autorità di regolamentazione delle telecomunicazioni FCC ha vietato la vendita di nuovi router prodotti al di fuori degli Stati Uniti.

C’è un altro aspetto da considerare riguardo a questo specifico dispositivo. Il VX800v non compare per la prima volta in un avviso di sicurezza nel 2026. Già a febbraio ne era stato pubblicato uno che lo riguardava, con numeri diversi e un numero diverso di versioni del firmware. Pertanto, il modello continua a ricomparire.

È possibile interpretare questo fatto in due modi, ed entrambi sono validi. Un produttore che segnala numerose vulnerabilità è o insolitamente negligente oppure insolitamente trasparente. Ciò che conta questa settimana è la terza osservazione. Anche quando segnala e risolve i problemi in modo corretto, la correzione vi giunge solo se il vostro fornitore ve la trasmette.

Cosa rimane

In Germania vige la libertà di scelta del router dal 2016. Nessuno è obbligato ad accettare il dispositivo fornito dal provider; chiunque può collegare il proprio. Chi ha agito in tal senso non è interessato da questo caso e riceve gli aggiornamenti direttamente dal produttore.

Chi ha mantenuto il router noleggiato, ovvero la maggior parte delle persone, ha scelto la comodità. Arriva preconfigurato, funziona immediatamente e, in caso di guasto, la responsabilità ricade su qualcun altro. Il prezzo da pagare per questo è indicato nella presente comunicazione. Lo stesso «qualcun altro» è responsabile anche quando è presente una vulnerabilità, e Lei non viene informato né se ne è interessato né quando verrà risolta.

In pratica ciò significa verificare una volta all’anno quale dispositivo si trova nella vostra abitazione e quale firmware utilizza. Due minuti, una volta all’anno. E se la versione è troppo vecchia, chiedete. Non perché domani qualcuno possa intromettersi nella vostra rete, ma perché chiedere è l’unica leva che questo accordo vi lascia a disposizione.