この記事は、TP-Link の公式の勧告（セキュリティアドバイザリー）・公式FAQと、NVD の公開情報（CVE-2026-34126 の1件は JVN も）をもとにした情報の整理です。筆者が検証したものではなく、筆者はこれらの製品を使っていません。法律やセキュリティの専門的な助言ではありません。情報は2026年10月25日時点のものです。勧告は更新されることがあるため、最新の内容は、各リンク先の公式ページで確認してください。
この記事の要点
- 公式が示す対策は、最新のファームウェア（機器の中のソフト）への更新です。設定を変えるなどの回避策は、下の6件の勧告には書かれていません。
- 2026年に、Tapo・Kasa のプラグ・電球・スイッチなどに関する勧告が、確認できた範囲で6件あります（下の表。カメラ・ドアホンは含めていません）。
- このうち5件は、TP-Link の評価が「High」（CVSS v4.0 で 7.1〜8.7）で、攻撃元は「隣接」です。同じネットワークの中や、Bluetoothが届く近くにいる攻撃者を想定した勧告です。残る1件（Tapo S505）は「Medium」（5.4）で、機器に物理的に触れる攻撃者を想定しています。
- CVE-2026-15314 については、NVD 自身の評価（CVSS v3.1）は、攻撃元を「ネットワーク」、必要な権限を「不要」としており、TP-Link の勧告（隣接）と異なります（2026年10月25日時点）。
- 更新は、Tapo はTapoアプリ、Kasa はKasaアプリ（公式FAQによっては Tapoアプリ）で行います。更新の途中で、電源を切らないでください（公式の注意）。
- アプリに更新が表示されなくても、最新版とは限りません。米国の公式FAQ（2688）は、更新は段階的に配信され、同じ機種でも表示までに数週間から1か月かかることがある、と説明しています。日本語の公式FAQ（2621。Tapo の更新）は、表示されない場合は最新版と案内しており、説明が違います（下の「更新が表示されないとき・失敗するとき」）。
- 日本での Kasa の取り扱いと、日本向けの修正版の提供状況は、公式で確認できていません（日本向けの記載があるのは、Tapo L535E・P300・D100C だけです）。
公式の勧告（Tapo・Kasa のプラグ・電球・スイッチなど）
CVSS は、脆弱性の深刻度を 0〜10 の点数で示す国際的な指標です（10が最大）。「NVD」は、米国の脆弱性データベースです。
| CVE番号 | 対象 | 公式の説明（要約） | 点数（TP-Link の評価。CVSS v4.0） | 日付 |
|---|---|---|---|---|
| CVE-2025-15557 | Tapo H100 v1、Tapo P100 v1 | クラウドとの暗号化通信で、証明書の確認が不適切。同じネットワーク上の「中間者」（通信の途中に入り込む人）が、通信を傍受・改ざんできる可能性 | 7.5（High） | NVD公開 2026年2月6日 |
| CVE-2026-34126 | Tapo L535E、Tapo P300、Tapo D100C（チャイム） | 初期設定のときだけ使うBluetooth通信が、暗号化されない。近くにいる攻撃者が、傍受・設定データの改ざん・初期化中の不正な操作をできる可能性 | 7.3（High） | NVD公開 2026年5月29日。JVN公開 2026年6月5日 |
| CVE-2026-15314 | Tapo P110 v1（スマートプラグ） | 認証済みの通信の処理に不備。Webサービスが止まる、または再起動する（サービス拒否） | 7.1（High） | NVD公開 2026年8月5日（勧告の更新 2026年8月4日） |
| CVE-2026-76784 | Kasa の複数機種（プラグ・スイッチ、電球 KL125） | ローカル通信の暗号保護が不十分。隣接のネットワークの攻撃者が、制御メッセージを傍受・再生・偽造できる可能性。機器の状態の不正な変更や、動作の妨害に至る可能性 | 8.7（High） | NVD公開 2026年8月27日 |
| CVE-2026-108473 | Kasa の複数機種（プラグ・スイッチ、電球・ライトストリップ） | ローカルの管理の通信で、認証が不十分。認証なしの攻撃者が、機器の状態や設定を変更できる可能性。条件によっては、アカウント関連の情報が漏れ、クラウドのアカウントの侵害に至る可能性 | 8.7（High） | NVD公開 2026年10月14日 |
| CVE-2026-102368 | Tapo S505 v1.6 | 端末固有の暗号用の鍵が、ファームウェア内に平文で保存されている。機器に物理的に触れる攻撃者が、取り出せる可能性 | 5.4（Medium） | NVD公開 2026年10月9日（勧告の更新 2026年10月8日） |
表の点数と「High」「Medium」は、TP-Link 自身の評価（CVSS v4.0）です。NVD のページ（2026年10月25日時点）では、CVSS v4.0 の欄は6件とも「NVD assessment not yet provided」（NVD 自身の v4.0 評価なし）でした。CVSS v3.1 では、NVD 自身が評価を付けているものが3件あります。CVE-2025-15557 は 8.8（High）、CVE-2026-34126 は 7.5（High）、CVE-2026-15314 は 7.5（High）です。残る3件（CVE-2026-76784 は「AWAITING ENRICHMENT」、CVE-2026-108473 と CVE-2026-102368 は「NOT SCHEDULED」）は、v3.x の欄も評価なしでした。JVN は、CVE-2026-34126 を、CVSS v3.0 で 6.7、v4.0 で 7.3 としています。CVSS は、版が違うと点数を直接比べられません。NVD の評価は後から付くことがあるため、最新は NVD のページで確認してください。
TP-Link の勧告ページには、最初の公開日は表示されず、「最終更新日」だけがあります。そのため、日付は、NVD（または JVN）への掲載日を書きました。6件とも、NVD の公開日を確認しています。CVE-2026-15314 と CVE-2026-102368 には、勧告の更新日も添えました。
6件は、TP-Link（米国）の勧告一覧（135件）の題名から、Tapo・Kasa のカメラ・ドアホン以外を拾ったものです。題名による確認のため、拾い漏れがある可能性があります。
対象機種と修正版
Tapo H100 v1・P100 v1（CVE-2025-15557）
影響を受けるのは、H100 v1 は 1.6.1 未満、P100 v1 は 1.2.6 未満のファームウェアです（NVDの記載）。公式は、最新のファームウェアへの更新を案内しています。
Tapo L535E・P300・D100C（CVE-2026-34126）
| 製品 | ハードウェア | 地域 | 修正版ファームウェア |
|---|---|---|---|
| Tapo L535E | v3.0 | EU・US | 1.4.1 Build 251016 Rel.204554 |
| Tapo L535E | v1.0 | 日本 | 1.4.1 Build 251016 Rel.204554 |
| Tapo P300 | v1.0 | EU | 1.4.2 Build 251219 Rel.142654 |
| Tapo P300 | v1.0 | 日本 | 1.4.0 Build 260416 Rel.014037 |
| Tapo D100C | v1.0 | EU・日本・US | 1.3.1 Build 260421 Rel.031658 |
D100C は、Tapo のドアホン等（D130、D210、D235、D225、TD21、TDB21、TD25）に付属するチャイムです（勧告の記載）。更新は、Tapoアプリでチャイムを選び、歯車アイコンから「Firmware Update」で行います（勧告の記載）。
Tapo P110 v1（CVE-2026-15314）
修正版は「V1_1.1.4 Build 260709」です。
Tapo S505 v1.6（CVE-2026-102368）
修正版は「1.4.1 Build 260713」です。
Kasa の複数機種（CVE-2026-76784、CVE-2026-108473）
同じ機種が、2件の勧告に載っていることがあります。対象は、機種とハードウェア版ごとに、勧告の表に書かれています。修正版のバージョン番号は、機種ごとに違うため、各勧告の表で確認してください（出典のリンク）。
- CVE-2026-108473（2026年10月14日）のプラグ・スイッチ: HS103（V5）、EP10、EP40、HS200（V5）、KP401、KS230 KIT（V2）、KP405、HS220（V3）、KP115、HS210（V3）、HS300（V2）、KP200（V3）、KP303（V2）、KS200、EP40A、KS220、KS200M、ES20M・KS220M、KP400（V3.0）。電球・ライトストリップ: KL125（V4）、KL135（V2）、KL110（V4）、KL420L5。
- CVE-2026-76784（2026年8月26日更新）のプラグ・スイッチ: HS103P3・HS103P4、EP10、EP25（V2）、HS300（V2）、KP303（V2）、EP40A、KP125MP2・KP125MP4、KP115、KS225、EP40M、KS205、KS240、ES20M、KS220M、KP200（V3）、HS200（V5.26）、HS220-LA(US)・HS220-BL(US)（V6.6と V4.6）、HS220（V3.26）。電球: KL125。
公式が示す対策
- 6件の勧告とも、対策は「最新のファームウェアへの更新」です。TP-Link は、更新していない機器は、脆弱なままの可能性がある、と注意しています。
- 設定を変えるなどの回避策（workaround）は、6件の勧告に書かれていません。
- 製品の問い合わせ先は、日本の公式サイトに「サポートセンター」のページがあります（リンク先の内容は未確認）。脆弱性を見つけた人向けの連絡先は、公式の「Product Security Trust Center」（日本）に記載があります。
ファームウェアの更新方法（公式のFAQ）
Tapo の機器（日本の公式FAQ。2026年10月21日更新）
- Tapo の機器のファームウェアは、Tapoアプリでだけ更新できます。TP-Link ID でログインして、機器を操作できる状態にします。
- 方法1: アプリで機器を選び、右上の歯車アイコン → デバイス設定 →「ファームウェアアップデート」をタップします。ここで、自動アップデートの時間も設定できます。
- 方法2:「Me」→「ファームウェアアップデート」。
- 更新中は、機器の電源を切らないでください。すべての Tapo 機器が、自動更新に対応しているわけではありません。
Kasa の機器（米国の公式FAQ 1256。2026年6月24日更新）
- この FAQ では、Kasa の機器のファームウェアは、Kasaアプリでだけ更新できると説明されています（手動での更新や、ブラウザからの更新はできません）。
- 一方、別の米国の公式FAQ（2621、2026年5月7日更新）は、Tapo と Kasa の機器のファームウェアを、Tapoアプリで更新できると説明しています。どちらも、ブラウザや手動での更新はできないという点は同じです。どちらが現状かは、公式のページからは判断できません。
- 手順: Kasaアプリに TP-Link ID でログイン → 右下の「Me」→「Firmware Update」→ 更新があれば、タップします。機器が、クラウドから自動でダウンロードして、インストールします。終わるまで、電源を切らず、操作もしないでください。「Me」と「Firmware Update」は、英語の FAQ の表記です。日本語のアプリでの表示は、確認できていません。
- 日本語の公式FAQ（2018年5月9日更新）には、別の手順（左上のアイコン →「設定」→「ファームウェアのアップデート」）が載っています。アプリの版によって、画面が違う可能性があります。
更新が表示されないとき・失敗するとき（公式のFAQ）
更新が表示されないとき
- 日本語の公式FAQ（2621。Tapo の更新。2026年10月21日更新）は、「アップデートが表示されない場合は、既に最新版がインストールされています」と案内しています。一方、米国の公式FAQ（2688、2026年2月2日更新）は、更新が段階的に配信され、同じ機種でも更新を受け取る機器とまだ検出しない機器があり、通常は数週間から1か月かかる、と説明しています。公式のFAQ同士で、説明が違います。
- 日本語のページにも、同じ番号（2688）のFAQがありますが、2021年6月15日更新の別の内容です（手順は3つで、段階配信の記載はありません）。
- 待ちたくない場合は、機器の「Device Settings」>「Firmware Update」で「Auto Update」をオンにすると、配信が完了したあとに自動で更新される、と米国FAQ 2688 は説明しています。ただし、日本語FAQ 2621 は、すべての Tapo 機器が自動更新に対応しているわけではない、と書いています。
- 勧告の修正版の番号と、お使いの機器のファームウェアの版を、見比べてください。機器のファームウェアの版の確認方法は、この記事では確認できていません。
更新に失敗するとき
米国の公式FAQ 2688（2026年2月2日更新）が挙げる手順は、次のとおりです。
- ルーターと機器を、再起動する。
- 機器を、ルーターに近づける。
- 機器をスマートフォンのホットスポットにつないで、更新を再試行する。
- ハブにつなぐ機器は、ハブの近くに置く。
アカウントの保護（2段階認証）
勧告の対策として示されたものではありませんが、公式は、Tapo・Kasa のアプリに「2段階認証」があると案内しています。
- Tapoアプリ（米国の英語のFAQ、2026年5月27日更新）:「Me」>「View Account」>「Login Security」>「Two-Step Verification」をオンにします。「Me」の位置は、アプリの版で、右下または左上と書かれています。
- Tapoアプリ（日本語のFAQ、2022年6月8日更新）:「私」タブ → 左上のアカウントアイコン →「ログインセキュリティ」→「2段階認証」をオンにする、と案内されています。更新が古いため、2026年10月時点のアプリの画面と同じかは、確認できていません。画面は版で変わる場合があります。
- オンにすると、新しい端末でログインするとき、アプリの通知か、メールで届く確認コードが必要になります。公式は、オンにすることを強く勧めています。
- Kasaアプリにも「Login Security」がありますが、提供は段階的で、まだ表示されない人がいます（公式FAQ）。
6件の勧告に記載のないこと
この記事の以前の版（2026年6月7日）にあった次の内容は、公式の勧告6本に記載がなく、確認できなかったため、削除しました。ここには、2026年10月25日時点で、6件の勧告に記載のないことだけを挙げます。
- 6件の勧告に、root権限での任意のプログラム実行を示す記載は、ありません。
- 6件の勧告に、Wi-Fiのパスワードが見えるという記載は、ありません。公式（CVE-2026-108473）が書いているのは、アカウント関連の情報が漏れる可能性です（勧告の題名は「Improper Authentication and Credential Exposure」）。
- 6件の勧告に、「UPnP」「MACアドレスフィルタリング」「VLAN」などの設定を対策とする記載は、ありません。勧告の対策は、ファームウェアの更新だけです。
- 6件の勧告に、更新通知を無視した期間や、購入からの年数を基準にする記載は、ありません。勧告が示す基準は、機種・ハードウェア版・ファームウェアの版です。
このほか、以前の版にあった Deco の「IoTネットワーク」の説明は、勧告ではなく、公式FAQ（4420）の内容です。
- Deco の「IoTネットワーク」について、公式FAQ（2026年7月2日更新）は、「スマートホーム用の専用のWi-Fi」（英語の原文を訳したもの）で、接続の成功率とセキュリティを高める、と説明しています。ただし、説明の中心は、機器の設定時の失敗や、接続が切れる問題の予防です。同じ公式FAQに、既定では、ネットワーク間の通信を許可すると書かれていて、端末の隔離は別の設定（Deco アプリの「Security」>「Device Isolation」）です。このFAQに、脆弱性への対策として示す記載は、ありません。
まだ確認できていないこと
- 日本での Kasa の取り扱い。H100・P100・P110・S505・Kasa の、日本向けの修正版の提供状況。
- 勧告の最初の公開日（TP-Link の勧告ページは、最終更新日だけです）。
- 「HS100」「KP105」などの古い機種が、今回の勧告の対象かどうか（上の一覧には載っていません）。
- Kasa の機器を更新するアプリが、Kasaアプリだけか、Tapoアプリでもよいか（公式FAQ同士で説明が違います）。
- 更新が表示されないとき、Tapo では最新版と見てよいか（日本語FAQ 2621 と米国FAQ 2688 で説明が違います）。
- 機器のファームウェアの版を、アプリで確認する方法。
- Kasaアプリの日本語での、更新メニューの表示名。
- 6件のほかに、Tapo・Kasa のプラグ・電球・スイッチなどの勧告がないか（一覧の題名による確認のため、拾い漏れの可能性があります）。
- 2025年に公開された、Tapo アプリ・KP303 などの勧告。この記事では扱っていません。
- カメラ・ドアホン・ルーターの勧告。この記事では扱っていません。
確認できしだい、この記事を更新します。
出典
- TP-Link セキュリティアドバイザリ一覧（米国）
- TP-Link 勧告 Tapo H100 and P100（CVE-2025-15557）
- TP-Link 勧告 Tapo L535E, P300 and D100C（CVE-2026-34126）
- TP-Link 勧告 Tapo P110（CVE-2026-15314）
- TP-Link 勧告 Kasa の複数機種（CVE-2026-76784）
- TP-Link 勧告 Kasa の複数機種（CVE-2026-108473）
- TP-Link 勧告 Tapo S505（CVE-2026-102368）
- NVD CVE-2025-15557
- NVD CVE-2026-34126
- NVD CVE-2026-15314
- NVD CVE-2026-76784
- NVD CVE-2026-108473
- NVD CVE-2026-102368
- JVN#70631953「複数のTP-LINK製品における重要情報の平文送信の脆弱性」（2026年6月5日）
- TP-Link 日本「Tapoデバイスのファームウェアをアップデートするには」
- TP-Link「How to Update Kasa Device Firmware via the Kasa App」（米国）
- TP-Link 日本「スマートホーム機器のファームウェアアップグレードの方法について」
- TP-Link「What can I do if Tapo/Kasa Smart Devices fail to update the firmware?」（米国。2026年2月2日更新）
- TP-Link 日本 FAQ 2688（2021年6月15日更新。米国版とは別の内容）
- TP-Link「How to Update Tapo and Kasa Device Firmware via the Tapo App」（米国。2026年5月7日更新）
- TP-Link「Two-Step Verification (2FA) for the Tapo App」（米国）
- TP-Link 日本 FAQ 3395（Tapoアプリの2段階認証。2022年6月8日更新）
- TP-Link「Two-Step Verification (2FA) for the Kasa App」（米国）
- TP-Link「Deco Smart Home Setup」（米国）
- TP-Link 日本「Product Security Trust Center」
更新履歴
- 2026年6月7日 初版
- 2026年10月25日 公式情報をもとに、全面的に整理（公式で確認できない記述を削除）
