サイバーセキュリティ

複数のTP-LINK製品における重要情報の平文送信の脆弱性

JVNは2026年6月5日、TP-Link Systems Inc.が提供する複数のTapo製品（L535E, P300, D100Cおよび同梱チャイム）に、初期設定時のBluetooth通信における重要情報の平文送信の脆弱性（CVE-2026-34126）が存在すると発表しました。この脆弱性により、中間者攻撃やBluetoothスニッフィングを通じて通信内容の傍受・改ざん、デバイスの不正制御のリスクがあります。影響を受けるユーザーは、開発者が提供する最新版ファームウェアへの速やかなアップデートが推奨されています。

この発表の要点

TP-LinkのTapoシリーズ複数製品に、初期設定時のBluetooth通信における重要情報の平文送信の脆弱性が確認された。
この脆弱性により、中間者攻撃やBluetoothスニッフィングで通信内容の傍受・改ざん、デバイスの不正制御のリスクがある。
影響を受けるユーザーは、開発者が提供する最新版ファームウェアへの速やかなアップデートが推奨される。

企業・自治体への影響

TP-Link TapoシリーズのスマートホームデバイスやIoT機器を業務利用している企業・自治体は、情報システム部門や総務部門を中心に、本脆弱性の影響を受ける可能性があります。特に、初期設定時にBluetooth通信を利用する環境下では、機密情報の漏洩やデバイスの不正制御のリスクに直面する可能性があります。

対応すべきこと

自社内でTP-Link Tapoシリーズの対象製品（L535E, P300, D100Cおよび同梱チャイム）の利用状況を確認する。
対象製品を利用している場合、TP-Link Systems Inc.が提供する最新版ファームウェアへ速やかにアップデートを実施する。
本脆弱性情報と対応方針を、情報システム部門や製品管理部門へ共有し、対応状況を管理する。

対応優先度： 高　重要情報の平文送信により中間者攻撃や不正制御のリスクがあり、速やかなファームウェアアップデートが求められるため。

対象部門： 経営者総務情シス

対応期限：速やかに確認

基本データ

企業・団体	JVN (Japan Vulnerability Notes)
業界	IT・ソフトウェア
発表日	2026-06-05
分類	サイバーセキュリティ

発表された内容

公開日：2026/06/05 最終更新日：2026/06/05

JVN#70631953
複数のTP-LINK製品における重要情報の平文送信の脆弱性

TP-Link Systems Inc.が提供する複数の製品には、重要情報の平文送信の脆弱性が存在します。

Tapo L535E hardware version v3.0 region EU / US

ファームウェア 1.4.1 Build 251016 Rel.204554より前のバージョン

Tapo L535E hardware version v1.0 region JP

ファームウェア 1.4.1 Build 251016 Rel.204554より前のバージョン

Tapo P300 hardware version v1.0 region EU

ファームウェア 1.4.2 Build 251219 Rel.142654より前のバージョン

Tapo P300 hardware version v1.0 region JP

ファームウェア 1.4.0 Build 260416 Rel.014037より前のバージョン

Tapo D100C hardware version v1.0 region EU / JP / US

ファームウェア 1.3.1 Build 260421 Rel.031658より前のバージョン

D100Cは、Tapoカメラに同梱されているチャイムで、以下のTapo製品にも同梱されています。

D130、D210、D235、D225、TD21、TDB21およびTD25

TP-Link Systems Inc.が提供する複数の製品には、次の脆弱性が存在します。

重要情報の平文送信（CWE-319）

CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N 基本値 7.3
CVSS:3.0/AV:A/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:L 基本値 6.7
CVE-2026-34126

中間者攻撃（man-in-the-middle attack）やBluetoothスニッフィングによって、第三者に通信内容を傍受、改ざんされたり、初期化中にデバイスを不正に制御されたりする可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。

ベンダ

リンク

TP-Link Systems Inc.

Security Advisory: Bluetooth Communication Uses Unencrypted Transmission During Initial Setup on Tapo L535E, P300 and D100C (CVE-2026-34126)

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。
報告者：合同会社エルプラス eyegrep 氏、izurina 氏

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

JVN iPedia

JVNDB-2026-000082

出典: JVN 脆弱性情報
URL: https://jvn.jp/jp/JVN70631953/

主な数値

CVSSv4.0基本値	7.3点
CVSSv3.0基本値	6.7点
直接影響を受ける製品モデル数	3モデル
D100Cに同梱されるTapo製品数	7製品

この事例から確認すべきポイント

本事例は、IoTデバイスにおける初期設定時の通信セキュリティの重要性を示しています。特にBluetoothのような近距離無線通信を利用するデバイスでは、設定プロセス中に機密情報が平文で送信されると、中間者攻撃やスニッフィングによって容易に傍受・改ざんされるリスクが高まります。企業がスマートホームデバイスやIoT機器を導入する際には、製品選定段階でセキュリティ機能、特に初期設定時の通信プロトコルや暗号化の有無を詳細に確認することが不可欠です。また、導入後もベンダーからのセキュリティアドバイザリや脆弱性情報を継続的に監視し、速やかにファームウェアアップデートを適用する運用体制を確立する必要があります。JPCERT/CCやIPAのような第三者機関が調整役となり、脆弱性情報を公開するプロセスは、ユーザーが適切な対策を講じる上で極めて重要です。

公式出典

JVN (Japan Vulnerability Notes)

更新履歴

公開日: 2026-06-05