Vier Amerikaanse staten hebben juridische stappen gezet tegen TP-Link. In de aanklachten draait het niet alleen om vermeende marketing die te rooskleurig zou zijn, maar ook om zorgen over de beveiliging van TP-Link routers, de updatepraktijk en de manier waarop het bedrijf zich positioneert ten opzichte van China. De zaak krijgt extra gewicht door technische kwetsbaarheden die onderzoekers koppelen aan modellen die door internetproviders worden geleverd.
Hoewel TP-Link de beschuldigingen afwijst, is de bredere boodschap duidelijk: als consumenten en toezichthouders onvoldoende vertrouwen hebben in beveiliging en patching, kan dat snel leiden tot juridische en regelgevende druk.
Waarom staten TP-Link routers aanklagen
Op 6 oktober dienden de procureurs-generaal van Florida, Iowa, Montana en Nebraska vrijwel identieke rechtszaken in bij hun eigen staatsrechtbanken. Zij baseren zich op de lokale consumer protection-wetten.
De kern van de klachten is dat de marketing van TP-Link volgens de staten de bescherming die apparaten bieden te ver overschat. Daarbij wijzen ze onder meer op claims rond de HomeShield-dienst, waaronder uitspraken dat die alle security scenarios zou dekken. In de aanklachten wordt ook gerefereerd aan een eerdere formulering als “100% safeguard”.
Om die marketing te betwisten, verwijzen de staten naar incidenten uit het cyberdreigingslandschap waarbij router-apparaten zouden zijn ingezet. Ze noemen daarbij campagnes als Volt Typhoon en Flax Typhoon, botnets die zouden zijn gebruikt voor password spraying door Chinese threat actors, en ook Russische pogingen gericht op TP-Link-routers.
Update-ondersteuning en technische tekortkomingen
Een ander belangrijk punt in de klachten is de manier waarop updates worden geleverd. Volgens de aanklachten ondersteunen sommige van de misbruikte modellen geen automatische firmware-updates meer en ontvangen ze daardoor niet langer security updates.
Daarnaast richten de klachten zich op de veronderstelde afstand van TP-Link tot China. De staten beweren dat een aanzienlijk deel van onderzoek, ontwikkeling en productie in China zou plaatsvinden. Ook wijzen ze op een deel van componenten dat bij een productiefaciliteit in Vietnam zou worden ingekocht: slechts 0,5% (op basis van waarde) zou in Vietnam worden betrokken.
De aanklagers halen ook privacy- en meldverplichtingen aan. Ze stellen dat TP-Link in privacybeleid niet duidelijk maakt dat Chinese gelieerde entiteiten onder Chinese inlichtingenwetgeving vallen. Bovendien zou TP-Link volgens de staten niet rapporteren over Chinese regels uit 2021 die vereisen dat nieuw ontdekte kwetsbaarheden aan de overheid moeten worden gemeld.
Wat eisen de aanklagers van TP-Link?
De staten vragen om juridische maatregelen zoals injunctions (verboden of bevelen), civiele boetes en terugbetaling van geld dat volgens hen is verkregen door de beweerde schendingen. Ook wordt gevraagd om een juryproces.
Omdat de rechtszaken zijn opgezet op basis van de consumentenbeschermingswetgeving, lijkt het doel niet alleen het terugdraaien van schade, maar vooral ook het afdwingen van ander gedrag in hoe beveiliging gecommuniceerd en gegarandeerd zou worden.
SEC Consult: vijf kwetsbaarheden in ISP-beheerde systemen
Naast de juridische claims gebruiken de staatsklachten technische voorbeelden om aan te tonen dat security problemen volgens hen doorzetten. Het dossier verwijst naar vijf kwetsbaarheden die TP-Link in augustus openbaar zou hebben gemaakt, met identificaties CVE-2025-30237 tot en met CVE-2025-30241.
Het gaat om issues in de Aginet-lijn van door internetproviders beheerde mesh-systemen, routers en modems.
Onderzoekers van SEC Consult publiceerden de technische details nadat zij de gebreken hadden gevonden. Hun belangrijkste conclusie: de kwetsbaarheden zouden een niet-geregistreerde aanvaller binnen hetzelfde netwerk in staat stellen om het getroffen apparaat volledig te compromitteren.
De meest ingrijpende bug: auth bypass
De zwaarste kwetsbaarheid, CVE-2025-30237, draait om een authenticatiebypass in de webserver van het apparaat. Een aanvaller die toegang heeft tot de webinterface zou hiermee een super-administrator-account kunnen aanmaken en SSH kunnen inschakelen zonder dat daarvoor geloofsbrieven nodig zijn.
Misbruik met lage rechten en command injection
Verder wordt CVE-2025-30238 genoemd: hiermee zou een gebruiker met lage privileges acties kunnen uitvoeren die normaal bedoeld zijn voor beheerders.
Ook is er CVE-2025-30241, een command injection-kwetsbaarheid in de webinterface. Volgens de beschrijving kan een geauthenticeerde aanvaller opdrachten laten uitvoeren met root-rechten.
Hardcoded encryptiesleutels en leesbare bestanden
CVE-2025-30239 wijst op het gebruik van hardcoded encryptiesleutels. Die zouden alleen afhankelijk zijn van het apparaattype en gebruikt worden om configuratiebestanden en back-ups te beveiligen.
Als een aanvaller die bestanden in handen krijgt en de sleutels uit firmware kan halen, dan zou dat kunnen leiden tot het terugvinden van wachtwoorden, wifi-gegevens en—afhankelijk van de configuratie—credentials voor remote management door de internetprovider.
Kwetsbaarheid met fysieke toegang
Tenslotte noemt de bron CVE-2025-30240, waarbij fysieke toegang nodig is. Een aanvaller zou in dat scenario via een speciaal geprepareerde USB-drive toegang kunnen krijgen om het volledige bestandsysteem te lezen.
Welke apparaten zijn geraakt en hoe liep het patchen?
TP-Link gaf volgens de beschrijving aan dat er 65 getroffen apparaten zijn. Dat omvat mesh-systemen, routers, fiber (PON)-apparatuur en DSL-modems.
Ook wordt opgemerkt dat ISP-gecustomede varianten van deze modellen eveneens onder de impact zouden vallen.
SEC Consult begon in december 2024 met het melden van de kwetsbaarheden aan TP-Link. TP-Link gaf in januari 2025 aan dat de eerste issues al verholpen waren, maar het volledig identificeren van alle getroffen varianten zou tot juli 2025 hebben geduurd. Het uitrollen van fixes liep vervolgens door tot in 2026, waarbij ook custom firmware voor providersituaties zou zijn ingezet.
TP-Link stelt dat firmware-updates voor de getroffen apparaten via internetproviders worden verspreid. Gebruikers wordt aangeraden om via de managementinterface of de bijbehorende app te controleren op updates. Als er geen update beschikbaar is, zou contact met de ISP nodig zijn.
SEC Consult zou daarnaast geen PoC-exploitcode hebben vrijgegeven, mede omdat veel kwetsbare apparaten mogelijk nog niet gepatcht waren.
TP-Link reageert: beschuldigingen “baseless”
TP-Link wijst alle aantijgingen af en noemt de rechtszaken volgens de bron “baseless”. In een verklaring van 6 oktober zegt TP-Link dat de klachten volgens hen berusten op verkeerde uitgangspunten en geen bijdrage leveren aan nationale veiligheid, terwijl een “industry-leading” bedrijf onterecht wordt bestraft.
De onderneming zegt dat zij maanden documentatie heeft aangeleverd aan staatsregulatoren waaruit zou blijken dat Amerikaanse apparaten in Vietnam worden gemaakt en dat het bedrijf niet eigendom is van of onder controle staat van een buitenlandse overheid.
Daarnaast stelt TP-Link dat claims dat de producten een bedreiging vormen voor gebruikers of dat ze ongeautoriseerde toegang zouden verschaffen aan buitenlandse overheden, zonder grond zijn.
Toezicht door de FCC: een bredere stap dan alleen de rechtszaken
Op 7 oktober sloot Montana zich aan bij een coalitie van 21 staatsprocureurs-generaal. In een brief roepen zij de FCC op om TP-Link onder de loep te nemen.
De aanleiding is dat de FCC in maart routers van buitenlandse herkomst toevoegde aan zijn Covered List, en dat TP-Link een aanvraag doet voor voorwaardelijke toestemming om nieuwe routermodellen in de VS te mogen verkopen.
Volgens de procureur-generaal van Montana zou TP-Link routers moeten worden gezien als een soort “Trojan horse” met spionagerisico’s. Hij stelt dat de FCC de aanvraag zou moeten afwijzen vanuit het oogpunt van nationale veiligheid.
Wat betekent dit voor gebruikers van TP-Link routers?
Los van de juridische uitkomst is er voor organisaties en consumenten een praktische les. TP-Link routers komen hier niet alleen ter sprake in context van marketingclaims, maar ook door concrete kwetsbaarheden die zich kunnen uitstrekken van webinterface-misbruik tot risico’s bij fysieke toegang en het terugvinden van gevoelige gegevens.
Gebruik daarom bij voorkeur een paar vaste stappen:
- Controleer updates actief via de managementinterface of app, en volg de route die geldt voor uw provider.
- Bekijk of automatische updates beschikbaar zijn voor uw specifieke model en firmwareversie.
- Beperk blootstelling van de webinterface en sta alleen beheer toe vanuit vertrouwde netwerken.
- Voer periodieke checks uit op configuraties, vooral rondom remote management en accountrollen.
Als uw router ISP-beheerd is, kan het uitrollen van fixes trager verlopen dan wanneer u zelf de firmware beheert. Dat vergroot het belang van duidelijke communicatie vanuit providers en het tijdig monitoren van beschikbare updates.
Gerelateerd: eerder TP-Link security nieuws
Wilt u meer context over eerdere TP-Link kwetsbaarheden en hoe ketens kunnen leiden tot verdergaande impact? Lees dan ook:
