שירות שמאזין בפורט 9002 בעמדת טעינה לרכב חשמלי מקבל בקשה עם כתובת, מוריד ממנה ארכיון ומריץ את סקריפט ההתקנה שבתוכו כ-root. אף שלב בדרך אינו בודק מי ביקש. זו אחת משמונה חולשות שחוקרי CyberDanube מצאו בקושחה של Autel Maxi Charger Single, ו-NVD סיימה לדרג את כולן ב-24 באוקטובר 2026.

סקירה כללית

Autel Maxi Charger Single היא עמדת טעינה לרכב חשמלי לבית ולחניון. מבחינת הרשת היא מחשב לינוקס קטן על שבב i.MX6 של NXP, מחובר לרשת המקומית מצד אחד ולשרת הניהול של מפעיל הטעינה מצד שני. את השיחה ביניהם מנהל פרוטוקול בשם OCPP, שמניח שהעמדה מצייתת לשרת.

ארבע מהשמונה מגיעות מהרשת בלי שום אימות: שני חשבונות ניהול לא מתועדים, token קבוע שמוטמע בקושחה ופותח פקודות ניהול לכל מי שמציג אותו, והרצת קוד והזרקת פקודות דרך הפורט 9002. השאר: אחת משרת הניהול, אחת שדורשת חשבון וגולשת מעל חוצץ, ושתיים שדורשות יד על המכשיר.

מזהים: CVE-2026-8982 עד CVE-2026-8989
סוג: פרטי אימות מוטמעים (CWE-798), הרצת קוד (CWE-94), הזרקת פקודות (CWE-78), גלישת חוצץ (CWE-122), ממשק ניפוי חשוף (CWE-1191, CWE-1244)
מוצר: Autel Maxi Charger Single
גרסאות מושפעות: הכול עד V1.03.51 ועד בכלל
גרסה מתוקנת: לא פורסם מספר גרסה. CyberDanube ממליצה לעדכן לאחרונה הזמינה ולשקול החלפה
ניצול בפועל: לא, אף אחת אינה בקטלוג ה-KEV של CISA

ציר זמן

11 במרץ 2026: CyberDanube שולחת את הדוח. האישור מגיע מלקוח של Autel, לא מהיצרן.
7 במאי 2026: עדכון קושחה מגיע לחוקרים, גם הוא דרך הלקוח.
9 ביוני 2026: האזהרה מתפרסמת לציבור.
21 ביולי 2026: שמונת המזהים נרשמים ב-NVD.
24 באוקטובר 2026: NVD מסיימת את הניתוח ונותנת לשמונה ציונים משלה.

איך הניצול עובד

הבקשה לפורט 9002 היא HTTP POST עם JSON שבתוכו כתובת להורדה. העמדה מורידה את הארכיון, פורסת אותו ומריצה את סקריפט ההתקנה שבתוכו כ-root, בלי לבדוק מי שלח ומה ירד. לאותו endpoint יש מסלול שני: שדה הכתובת נכנס לפקודת מערכת בלי סינון, ומי שתופר לתוכו תווי בקרה מריץ פקודות משלו. לזה קוראים OS Command Injection.

חולשה אחת עובדת בכיוון ההפוך. שרת ה-OCPP רשאי לבקש מהעמדה לאסוף יומני אבחון ולשלוח אותם לכתובת שהוא נותן, וגם הכתובת הזאת נכנסת לפקודת מערכת. מי ששולט בשרת הניהול, או מתחזה לו, מריץ פקודות על כל עמדה שמחוברת אליו.

ניתוח ציון ה-CVSS

ציון CVSS: 9.8

זה הציון שנתנה NVD לארבע מהשמונה, ביניהן ההורדה בפורט 9002 והבקשה דרך שרת ה-OCPP. בשבע מתוך השמונה הציון של CyberDanube גבוה יותר, ותמיד מאותה סיבה: NVD קובעת שהנזק נעצר בעמדה, והחוקרים קובעים שהוא ממשיך אל מה שהעמדה מחוברת אליו.

איפה למצוא Proof of Concept (PoC)

הפירוט הטכני וקוד ההדגמה נמצאים באזהרה של החוקרים עצמם. האזהרה של CyberDanube עוברת על שמונת הכשלים אחד אחד, כולל מבנה הבקשה שמפעילה את ההורדה.

עמדת טעינה מחוברת לרשת של הבית מצד אחד, ולחשמל מצד שני. מי שמריץ עליה קוד כ-root יושב בשתי הנקודות בבת אחת, וזה בדיוק מה שהציון של NVD בחר לא לספור.