CVE-2026-40702: Falta de autenticação em endpoints WebSocket de estações de recarga
A falta de autenticação em endpoints WebSocket pode permitir que atacantes se façam passar por estações de recarga. A CNA classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.4. O registro não lista versões afetadas nem versões corrigidas.
Visão geral
Este registro descreve endpoints WebSocket sem autenticação adequada, o que permitiria a um atacante se passar por estações de recarga. A fraqueza é classificada como CWE-306, Falta de autenticação para função crítica. O registro foi publicado em 25/06/2026 e atribuído pela CNA ICS-CERT.
Impacto
Segundo a descrição, um atacante poderia obter acesso não autorizado a dados sensíveis ou executar ações não autorizadas. Como nenhuma autenticação é exigida, a descrição indica que isso pode levar a escalada de privilégios e potencialmente comprometer a segurança de todo o sistema. A pontuação base CVSS 3.1 é 9.4 (crítica), e a pontuação CVSS 4.0 listada é 9.3.
Produtos e versões afetados
O registro não lista produtos ou versões afetados. Ele inclui um link para a página de contato da Evoke Systems, mas não afirma que o produto desse fornecedor seja afetado.
Status de exploração
O registro indica que esta CVE não consta no catálogo Known Exploited Vulnerabilities da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Consulte o aviso da CISA ICSA-26-176-02 para orientações atuais da agência.
- Solicite ao fornecedor do produto informações sobre patches ou correções, já que o registro não identifica uma versão corrigida.
- Limite a exposição de rede das interfaces WebSocket das estações de recarga e posicione-as atrás de segmentação de rede.
- Quando o produto não impuser autenticação, considere controles compensatórios que restrinjam o acesso a hosts confiáveis.
Orientações de detecção
- Revise os logs em busca de conexões WebSocket com a infraestrutura de recarga originadas de fontes inesperadas.
- Monitore sessões apresentadas como estações de recarga que se originem de endereços desconhecidos ou não autorizados.
Limitações das informações disponíveis
O registro não contém versões afetadas, versões corrigidas, pontuação EPSS ou dados SSVC. Não se sabe se a página de contato referenciada se relaciona ao produto afetado. O escopo completo dos dispositivos afetados não é confirmado pelo registro.
Perguntas frequentes
Qual é a principal fraqueza da CVE-2026-40702?
Os endpoints WebSocket não possuem autenticação adequada, o que, segundo o registro, permite que atacantes se façam passar por estações de recarga. A fraqueza é mapeada como CWE-306, Falta de autenticação para função crítica.
Qual a gravidade desta CVE segundo o registro?
O registro lista pontuação base CVSS 3.1 de 9.4 e pontuação CVSS 4.0 de 9.3, ambas críticas. As pontuações são atribuídas pela CNA ICS-CERT.
Existe versão corrigida ou patch disponível?
O registro não lista versões corrigidas nem patches. A ausência de dados no registro não confirma que não exista correção, por isso consulte o fornecedor e o aviso da CISA.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.