CVE-2026-27772: EV Energy ev.energy: ausência de autenticação em endpoint WebSocket OCPP
A CVE-2026-27772 afeta o produto ev.energy da EV Energy e está classificada como ausência de autenticação em função crítica (CWE-306). Segundo o registro, o endpoint WebSocket OCPP pode ser acessado sem autenticação, o que pode permitir que um agente não autenticado se passe por uma estação de recarga. A pontuação base do NVD é 9,8, e as fontes consultadas não mostram exploração confirmada.
Visão geral
A CVE-2026-27772 é um problema de ausência de autenticação (CWE-306) no produto ev.energy, da EV Energy. Segundo o registro, os endpoints WebSocket, incluindo o endpoint OCPP usado na comunicação com estações de recarga, não aplicam autenticação adequada. O status do registro no NVD é Modified, e a CVE foi publicada pelo CNA ICS-CERT.
Impacto
- Um agente não autenticado pode, possivelmente, se passar por uma estação de recarga.
- Os dados enviados ao backend podem ser manipulados.
- O registro descreve possível escalonamento de privilégios e controle não autorizado da infraestrutura de recarga.
- É possível a corrupção dos dados da rede de recarga reportados ao backend.
Produtos e versões afetados
- Produto listado: Ev.energy Ev.energy, da EV Energy.
- O registro não especifica versões numeradas. O escopo é descrito apenas como todas as versões, sem lista de releases.
- Nenhuma versão corrigida consta no registro. Isso não confirma que não exista correção.
Status de exploração
O registro indica que a CVE não está listada no catálogo KEV da CISA. Os dados SSVC informam exploração como none e automatizável como yes. Não há exploração ativa confirmada nas fontes consultadas.
Correção e mitigação
- Consulte o aviso da CISA e o site do fabricante para orientações atuais.
- Restrinja o acesso de rede aos endpoints de gestão e OCPP, permitindo apenas redes confiáveis e sistemas de backend conhecidos.
- Aplique autenticação e verificação da identidade da estação no lado do servidor para sessões WebSocket, como princípio defensivo de projeto.
- Mantenha um inventário das estações de recarga e trate identificadores não registrados como suspeitos.
Orientações de detecção
- Analise os logs em busca de sessões WebSocket de identificadores de estação desconhecidos ou não registrados.
- Gere alertas para sessões de carregadores que não correspondam ao inventário ou que mudem de identidade de forma inesperada.
- Observe nos registros do backend volumes incomuns de mensagens ou inconsistências de dados que possam indicar adulteração.
Limitações das informações disponíveis
O registro não informa versões afetadas numeradas, versões corrigidas nem detalhes técnicos dos endpoints. As condições exatas de implantação que tornam um sistema vulnerável são desconhecidas. As pontuações CVSS variam entre fornecedores no registro. As orientações acima são genéricas e devem ser validadas com os avisos do fabricante e da CISA.
Perguntas frequentes
O que é a CVE-2026-27772?
É um problema de ausência de autenticação (CWE-306) no produto ev.energy, da EV Energy, que afeta endpoints WebSocket, incluindo o endpoint OCPP usado por estações de recarga.
Esta vulnerabilidade está sendo explorada ativamente?
A CVE não está listada no catálogo KEV no registro, e não há exploração ativa confirmada nas fontes consultadas.
Quais versões são afetadas e existe correção?
O registro não lista versões afetadas numeradas nem versões corrigidas. A ausência de versão corrigida no registro não significa que não exista correção, por isso consulte os avisos do fabricante e da CISA.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.