CVE-2026-27028: Mobility46.se: WebSocket sem autenticação para função crítica

Visão geral

O registro descreve endpoints WebSocket da Mobility46.se que não possuem autenticação adequada. O endpoint WebSocket OCPP descrito pode ser acessado por uma parte não autenticada que conheça ou descubra um identificador de estação de recarga, e o registro afirma que isso permite emitir ou receber comandos como se fosse um carregador legítimo. A fraqueza é classificada como CWE-306, Falta de autenticação para função crítica. Fontes: NVD e aviso CISA ICSA-26-057-08.

Impacto

O registro afirma que a falha pode levar a escalonamento de privilégios.
O registro afirma que ela pode permitir controle não autorizado da infraestrutura de recarga.
O registro afirma que ela pode corromper dados da rede de recarga reportados ao backend.
Inferência nossa: como o identificador pode ser adivinhável ou descobrível, a barreira prática para a personificação pode ser baixa, embora as fontes não quantifiquem isso.

Produtos e versões afetadas

Produto: Mobility46 Mobility46.se.
As fontes afirmam que as versões afetadas não são especificadas e também indicam todas as versões. Não há faixa de versões informada.
A lista estruturada de versões afetadas está vazia, portanto o escopo exato deve ser confirmado com o fornecedor.

Status de exploração

O catálogo de vulnerabilidades exploradas da CISA não lista este CVE no registro analisado.
Não há exploração confirmada na natureza nas fontes consultadas.
Os dados SSVC do registro indicam exploração como nenhuma e automatizável como sim; trata-se de uma avaliação, não de evidência de ataques.

Correção e mitigação

O registro não lista versão corrigida. A ausência de versão corrigida não significa que não exista correção; a disponibilidade de correção é desconhecida.
Entre em contato com o fornecedor pela página de contato da Mobility46 para solicitar orientações, correções ou controles compensatórios.
Restrinja o acesso aos endpoints WebSocket do backend de recarga a redes confiáveis e segmentos das estações, por exemplo com segmentação de rede e listas de permissão.
Exija autenticação forte de dispositivo no backend para cada conexão de estação, e avalie se identificadores isolados podem estabelecer sessões.
Limite o impacto de eventual corrupção de dados validando as informações reportadas pelas estações e conciliando-as com registros independentes.

Orientação de detecção

Monitore conexões ao endpoint WebSocket OCPP vindas de origens desconhecidas ou inesperadas.
Gere alertas quando um mesmo identificador de estação aparecer a partir de múltiplas origens ou origens incomuns.
Revise registros em busca de comandos ou atualizações de status que não correspondam ao comportamento operacional esperado.
Compare registros do backend com a atividade física das estações para identificar dados sem explicação.

Limitações das informações disponíveis

O registro não informa versão corrigida, detalhes de correção do fornecedor nem lista específica de versões afetadas.
Apenas as referências da NVD e da CISA estão disponíveis; não foi fornecido texto de aviso do fornecedor.
As pontuações CVSS diferem entre fornecedores de informação (9.8 pela NVD, 9.3 e 9.4 pelas entradas do ICS-CERT); a pontuação da NVD é apresentada como valor principal.
A probabilidade de exploração no registro é baixa, mas isso não estabelece se ataques ocorrem.

Perguntas frequentes

Qual é a fraqueza central do CVE-2026-27028?

Os endpoints WebSocket, incluindo o endpoint OCPP, não possuem autenticação adequada, classificada como CWE-306 Falta de autenticação para função crítica.

Este CVE é conhecido por ser explorado ativamente?

O registro indica que o CVE não está no catálogo KEV da CISA, e não há exploração confirmada na natureza nas fontes consultadas.

Há versão corrigida disponível?

O registro não lista versão corrigida, então a disponibilidade de correção é desconhecida. Consulte o fornecedor pela página de contato.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.