Säkerhetshål i TP-Link Kasa – uppdatera och kolla Home Assistant

TP-Link har publicerat en säkerhetsvarning för CVE-2026-108473, ett autentiseringsfel i den lokala styrningen av många Kasa-pluggar, strömbrytare, grenuttag och lampor. Felet får 8,7 av 10 på CVSS v4.0 och räknas som högt. En angripare på samma lokala nätverk kan enligt TP-Link skicka kommandon utan inloggning och i vissa fall få fram kontouppgifter. Sårbarheten finns också i NVD.

Uppdatera via Kasa-appen

Lösningen är en firmwareuppdatering. TP-Link listar mer än 20 modeller, bland annat HS103, HS300, KP303 och flera KL-lampor, med fasta versioner per hårdvarurevision. Uppdateringen görs i Kasa-appen under Me > Firmware Update. Det finns ingen manuell fil att ladda upp i webbläsaren.

Home Assistant och Third-Party Compatibility

Om du styr Kasas enheter från Home Assistant finns ett extra steg. Nyare Kasa-firmware kan kräva att du slår på Third-Party Compatibility i Kasa-appen (eller motsvarande under Tapo Lab i Tapo-appen). Det beskrivs i Home Assistants TP-Link-dokumentation. Annars kan enheterna sluta svara i Home Assistant även om de fortfarande fungerar i tillverkarens app. Starta om enheterna och Home Assistant efteråt om något blivit otillgängligt.

TP-Link nämner också risk för kontoläckage, så det är rimligt att byta lösenord på TP-Link-kontot efteråt. Felet kräver att angriparen redan är på ditt lokala nät, men det är ändå skäl att uppdatera snart.