CVE-2026-22552: ePower ePower.ie: ausência de autenticação em função crítica
O ePower ePower.ie expõe endpoints WebSocket sem mecanismos de autenticação adequados, o que pode permitir que um terceiro não autenticado se passe por uma estação de recarga e altere dados enviados ao backend. A NVD atribui pontuação base CVSS de 9,8 e relaciona o problema à CWE-306. Não há exploração confirmada nas fontes consultadas, e o registro não identifica uma versão corrigida.
Visão geral
Segundo o aviso da CISA para sistemas de controle industrial ICSA-26-062-07, os endpoints WebSocket do ePower ePower.ie não possuem autenticação adequada. A fraqueza é classificada como CWE-306, Ausência de autenticação em função crítica.
Impacto
O registro descreve as seguintes consequências possíveis:
- Personificação não autorizada de estações, em que uma parte se conecta ao endpoint WebSocket OCPP com um identificador de estação conhecido ou descoberto.
- Manipulação dos dados enviados ao backend, incluindo corrupção dos dados da rede de recarga.
- Escalonamento de privilégios e controle não autorizado da infraestrutura de recarga.
O vetor CVSS da NVD classifica os impactos de confidencialidade, integridade e disponibilidade como altos, com pontuação base de 9,8 e sem necessidade de privilégios ou interação do usuário (registro na NVD).
Produtos e versões afetados
O produto afetado está listado como Epower Epower.ie. A fonte não especifica as versões afetadas, e o registro não contém números de versão. Informações de suporte do fabricante estão na página de suporte da ePower. Consulte o fabricante e o documento CSAF para o escopo oficial.
Status de exploração
Este CVE não consta no catálogo de vulnerabilidades exploradas conhecidas da CISA, conforme o registro. Não há exploração confirmada nas fontes consultadas. Os dados SSVC do registro indicam exploração como none e automatizável como yes, e a probabilidade EPSS é de 0,00944, com percentil de 0,6071. Esses valores são estimativas e não confirmam exploração.
Correção e mitigação
O registro não inclui correção ou patch. A ausência de dados sobre versão corrigida não significa que não exista correção; verifique a página de suporte do fabricante e o aviso CSAF para atualizações.
- Entre em contato com a ePower para orientações e para qualquer atualização que adicione autenticação aos endpoints afetados.
- Restrinja o acesso de rede aos endpoints WebSocket do backend de recarga a origens e redes confiáveis.
- Segmente a rede da infraestrutura de recarga das redes corporativas gerais e das exposições à internet.
- Revise as orientações do fabricante e da CISA sobre controles compensatórios enquanto não houver correção confirmada.
Orientação para detecção
Em nível geral, operadores podem procurar sinais de personificação nos logs do backend:
- Identificadores de carregadores conectando a partir de endereços ou redes inesperados.
- Sessões duplicadas ou sobrepostas para o mesmo identificador de estação.
- Alterações inesperadas ou lacunas nos dados de medição, sessão ou status reportados.
Limitações das informações disponíveis
O registro não traz versões afetadas nem corrigidas, não confirma patch pelo fabricante e não contém detalhes técnicos sobre como a falha de autenticação foi implementada. A página de suporte da ePower e o documento CSAF são referenciados, mas seu conteúdo não faz parte do registro, então suas orientações específicas são desconhecidas aqui.
Perguntas frequentes
Qual é a fraqueza central do CVE-2026-22552?
Os endpoints WebSocket do ePower ePower.ie não possuem autenticação adequada, classificada como CWE-306, Ausência de autenticação em função crítica.
Há registro de exploração ativa deste CVE?
O registro não o inclui no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Existe versão corrigida disponível?
O registro não informa versão corrigida nem patch. Isso não significa que não exista correção, então verifique a página de suporte do fabricante e o aviso da CISA.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.