近日，一则来自全球网络安全研究团队的披露报告引发广泛关注：TP-Link旗下Kasa系列智能摄像头存在一个极为严重的安全漏洞，该漏洞允许攻击者通过未经认证的UDP数据包获取摄像头的精确GPS地理位置信息，且这一漏洞已存在长达6年之久。受影响设备覆盖数百万用户，涉及家庭、办公室、商铺等众多私密场所。
漏洞细节：UDP端口裸奔，位置信息“透明化”
据安全研究人员披露，该漏洞的核心问题在于TP-Link Kasa摄像头在传输地理位置信息时使用了未经身份验证的UDP协议。具体而言，摄像头会在本地网络中通过UDP广播或多播方式持续发送包含自身GPS坐标的数据包，而这一过程完全不需要任何加密或认证机制。这意味着，只要攻击者处于同一局域网内（例如通过Wi-Fi嗅探或接入同一公共网络），无需任何密码或权限，即可直接捕获并解析出摄像头的地理位置。
研究人员指出，该漏洞在Kasa系列摄像头中至少从2017年就开始存在，至今已超过6年。由于UDP协议的无连接特性，攻击者不仅可以被动监听，甚至可以通过伪造请求主动触发摄像头发送位置信息，使得窃取行为更加隐匿。更令人担忧的是，许多用户将这类摄像头安装在家庭内部，如客厅、卧室、婴儿房等，GPS坐标一旦泄露，等同于直接暴露家庭住址，为入室盗窃、跟踪骚扰等恶性事件提供了便利。
影响范围：数百万设备面临风险
TP-Link Kasa系列智能摄像头在全球市场上拥有庞大用户群，尤其在北美、欧洲和亚洲地区销量可观。该系列产品以“智能家居”“远程监控”“云存储”等卖点切入市场，广泛应用于家庭安防、宠物看护、老人照护等场景。根据第三方市场分析数据，Kasa摄像头活跃设备数量超过数百万台，其中相当比例仍在使用未更新固件的旧版本。
安全研究员表示，该漏洞不仅影响当前在售的型号，也包括早已停止固件更新的老款产品。由于TP-Link未能在长达6年的时间里发现并修复这一问题，大量用户长期处于“裸奔”状态。实际上，早在2021年就有零星安全社区提及Kasa摄像头可能存在的UDP数据泄露问题，但未引起足够重视，直至此次由专业团队系统披露，才得以进入公众视野。
TP-Link官方回应：已发布固件补丁
面对舆论压力，TP-Link方面于近日发布官方声明，确认了该漏洞的存在，并对用户致歉。官方表示，已经开发了修复固件，并开始向受影响型号的Kasa摄像头推送更新。用户可通过TP-Link Kasa App直接检查并安装固件升级。同时，官方建议用户尽快更新设备固件，并在网络环境中启用防火墙、关闭不必要的UDP端口等安全措施。
不过，部分安全专家对TP-Link的回应持保留态度。有观点指出，对于已经停止官方支持的老款设备，用户可能无法获得固件更新，这意味着这些设备将永远存在安全风险。此外，即便更新了固件，由于底层架构设计问题，是否彻底修复了所有潜在的UDP泄露路径还有待验证。
用户如何自查与防范
普通用户若担忧自身设备安全，可通过以下步骤进行自查与防护： 1. 打开Kasa App，检查设备固件版本，确认是否为最新； 2. 在路由器管理界面中，查看是否有未知设备频繁发送UDP广播包； 3. 建议将摄像头单独划分至访客网络或隔离的VLAN中，避免与其他敏感设备同处一个子网； 4. 如设备长时间未收到固件更新，建议更换支持持续安全维护的品牌。
安全行业警示：IoT设备的“慢性病”亟待根治
此次事件再次暴露了物联网（IoT）设备安全管理的系统性缺陷。智能摄像头、智能门锁、智能音箱等产品大量涌入家庭，但厂商往往更重视功能迭代与用户体验，安全设计却严重滞后。UDP协议本身并不安全，但许多IoT设备为了“降低延迟”或“便于发现”，仍大量使用未经认证的UDP通信，将用户隐私置于风险之中。
安全行业呼吁，监管机构应当出台更严格的智能硬件安全标准，要求所有联网设备在出厂前必须通过安全审计，并强制厂商提供至少5年以上的安全更新服务。同时，消费者也应提升安全意识，不盲目相信“方便即智能”的营销话术，选购时关注产品的安全认证记录。
目前，TP-Link Kasa摄像头漏洞事件仍在持续发酵，多名网络安全从业者表示将继续追踪TP-Link后续的修复进展及可能存在的其他安全隐患。对于广大Kasa摄像头用户而言，及时更新固件、调整网络配置，是当前最迫切的自我保护措施。