CVE-2026-27767: SWITCH EV Swtchenergy.com: Ausência de Autenticação em Endpoint WebSocket OCPP

Visão geral

O SWITCH EV Swtchenergy.com é afetado pelo CVE-2026-27767, classificado como CWE-306 (Ausência de Autenticação para Função Crítica). O registro indica que os endpoints WebSocket não possuem autenticação adequada, o que permite que uma parte não autenticada se comporte como uma estação de recarga perante o backend que gerencia a infraestrutura de recarga.

Impacto

Um atacante que conheça ou descubra um identificador de estação de recarga pode conectar-se ao endpoint WebSocket OCPP sem credenciais.
O registro descreve a possibilidade de emitir ou receber comandos OCPP como um carregador legítimo.
Possíveis consequências listadas no registro incluem escalonamento de privilégios, controle não autorizado da infraestrutura de recarga e corrupção dos dados da rede de recarga reportados ao backend.
A pontuação do NVD é 9.8 (CVSS 3.1), e o ICS-CERT fornece pontuações CVSS 4.0 de 9.3. Os dados SSVC indicam potencial de exploração automatizável e impacto técnico total.

Produtos e versões afetadas

SWITCH EV Swtchenergy.com: o registro lista todas as versões como afetadas.
Swtchenergy Swtchenergy.com: o registro afirma que as versões não são especificadas pela fonte.

Nenhuma string de versão específica é fornecida nos dados disponíveis, por isso esta análise não lista números de versão. As organizações devem confirmar com o fornecedor quais builds de firmware ou software estão em uso.

Situação de exploração

O catálogo KEV da CISA não lista este CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.00984 (percentil 0.61991), e o campo de exploração SSVC está registrado como none.

Correção e mitigação

Entre em contato com o fornecedor pelo canal listado em a página de contato do fornecedor para orientações e eventuais atualizações. Nenhuma versão corrigida consta no registro, o que não significa que não exista correção.
Restrinja o acesso de rede aos endpoints WebSocket OCPP para que apenas estações de recarga e sistemas de backend autorizados possam alcançá-los.
Revise e fortaleça a verificação de identidade das estações de recarga, incluindo autenticação mútua quando a plataforma suportar.
Siga as orientações do aviso ICS da CISA ICSA-26-057-06.

Orientações de detecção

Monitore conexões WebSocket OCPP com identificadores de estação provenientes de redes inesperadas ou com frequência incomum.
Gere alertas para conexões cujos identificadores não correspondam a registros de hardware ou de comissionamento.
Revise os logs do backend em busca de mudanças de status inesperadas ou comandos que não correspondam à atividade física dos carregadores.

Limitações das informações disponíveis

O registro não especifica versões afetadas ou corrigidas do produto.
O texto do aviso do próprio fornecedor não está incluído no registro; o aviso da CISA e o arquivo CSAF foram referenciados, mas seu conteúdo não foi fornecido aqui.
As pontuações variam entre versões do CVSS e fornecedores, e o registro não explica as diferenças.
Não é possível determinar pelo registro se o produto está implantado em um determinado ambiente nem como os identificadores das estações são emitidos.

Perguntas frequentes

Qual é a fragilidade principal do CVE-2026-27767?

O registro descreve endpoints WebSocket sem autenticação adequada (CWE-306), de modo que uma parte não autenticada pode conectar-se ao endpoint OCPP usando um identificador de estação de recarga.

Este CVE é conhecido por ser explorado ativamente?

Não. O registro não indica inclusão no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Quais versões são afetadas?

O registro lista todas as versões do produto SWITCH EV e afirma que as versões não são especificadas pela fonte para o produto Swtchenergy. Nenhum número de versão é fornecido.

Há uma correção disponível?

O registro não lista versões corrigidas. Isso não significa que não exista correção; entre em contato com o fornecedor e consulte o aviso da CISA.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.