CVE-2026-25192: CTEK Charge Portal: ausência de autenticação em endpoints WebSocket

Visão geral

A CVE-2026-25192 é um problema de ausência de autenticação (CWE-306) nos endpoints WebSocket do CTEK Charge Portal. Segundo a descrição do CNA, os endpoints não aplicam autenticação adequada, o que pode permitir que uma parte não autenticada se faça passar por uma estação de recarga. O aviso referenciado pela CISA é o ICSA-26-078-06.

Impacto

A fonte descreve possível escalonamento de privilégios e controle não autorizado da infraestrutura de recarga.
A fonte descreve possível corrupção dos dados da rede de recarga reportados ao backend.
O NVD atribui pontuação base CVSS 3.1 de 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica alcance pela rede, baixa complexidade e ausência de exigência de privilégios ou interação do usuário.
Os dados SSVC da CISA no registro indicam exploração como none, automação como yes e impacto técnico como total.

Produtos e versões afetadas

Produto: Ctek Charge Portal.
O registro lista as versões afetadas como "versions not specified by the source" e "All versions", mas não fornece cadeias de versão específicas.
O registro não contém versões corrigidas.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS no registro é 0.00492 (percentil 0.41353), que é uma estimativa estatística e não evidência de exploração.

Correção e mitigação

Consulte a página de suporte fornecedor e o aviso da CISA para orientações atuais da CTEK.
Restrinja o acesso de rede aos endpoints WebSocket do Charge Portal a segmentos confiáveis, e mantenha as interfaces do backend de recarga atrás de controles de segmentação.
Acompanhe os canais do fornecedor para uma atualização de autenticação, pois o registro não traz informação de correção.
Revise o inventário de estações de recarga e conexões com o backend para identificar onde o portal está implantado.

Orientações de detecção

Revise os logs do backend de recarga em busca de conexões de origens inesperadas ou de identificadores de estação que não correspondam ao inventário esperado.
Gere alertas para sessões de estações que surjam sem um evento de provisionamento ou autenticação esperado.
Observe alterações inesperadas nos dados de sessão de recarga ou de energia reportados ao backend.

Limitações das informações disponíveis

O registro não especifica as versões exatas afetadas, as versões corrigidas nem o mecanismo da ausência de autenticação além da descrição do CNA. A pontuação base CVSS 3.1 de 9.8 vem do NVD, enquanto as entradas do ICS-CERT e do CNA listam pontuações de 9.3 (CVSS 4.0) e 9.4 (CVSS 3.1). A data de publicação dos dados EPSS está listada como 2026-10-23, o que deve ser verificado na fonte.

Perguntas frequentes

Qual é o problema central da CVE-2026-25192?

Os endpoints WebSocket do CTEK Charge Portal não possuem autenticação adequada, então uma parte não autenticada pode se conectar como uma estação de recarga. A fraqueza é classificada como CWE-306.

Existe uma correção confirmada para esta CVE?

O registro não contém versões corrigidas. Consulte a página de suporte da CTEK e o aviso da CISA ICSA-26-078-06 para orientações atuais.

Esta CVE é conhecida por ser explorada?

A CVE não aparece no catálogo KEV da CISA no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.