הרשומה מתארת שני חשבונות בעלי הרשאות מנהל בקושחה של עמדת הטעינה Autel MaxiCharger Single, בגרסאות עד 1.03.51 ועד בכלל, שאינם מופיעים בתיעוד של המוצר. הסיסמאות שלהם נגזרות מערכים ספציפיים של המכשיר לפי מנגנון שהיצרן קבע, ולכן מי שמכיר את המנגנון ואת הערכים שנכנסים אליו יכול להתחבר לממשק הניהול של העמדה כמנהל. הציון הוא 10 מתוך 10, הגבוה שאפשר לקבל.
מה החולשה?
עמדת טעינה לרכב חשמלי אינה רק כבל. יש בה מחשב קטן, חיבור לרשת וממשק ניהול שדרכו מגדירים אותה: מי מורשה לטעון, באיזו עוצמה, ואיך היא מדווחת על הצריכה.
בדרך כלל יש לממשק כזה חשבון של הבעלים או של המתקין, עם סיסמה שאפשר להחליף. כאן, לפי הרשומה, קיימים בנוסף שני חשבונות שהבעלים אינו מכיר ושאינם מתועדים. הסיסמה שלהם אינה אחת וזהה בכל המכשירים אלא נגזרת מערכים שייחודיים לכל מכשיר, מה שנשמע במבט ראשון כמו הגנה. הבעיה היא שהגזירה נעשית לפי מנגנון שהיצרן הגדיר, וברגע שהמנגנון מוכר, הסיסמה של מכשיר מסוים הופכת לחישוב במקום לסוד.
זה הכשל שהסיווג CWE-798 מתאר, שימוש בפרטי אימות מוטבעים בקוד. מה שמייחד אותו אינו עוצמת ההשתלטות אלא חלוקת האחריות. בעל המכשיר לא בחר את הסיסמה הזאת, אינו רואה אותה בשום מסך, ואין לו דרך להחליף אותה. גם מי שהגדיר סיסמה חזקה לחשבון שלו נשאר חשוף דרך שני החשבונות האלה.
הווקטור מסביר את הציון המלא: גישה מהרשת, בלי הרשאות מוקדמות, בלי מעורבות של אף אחד, ומורכבות תקיפה נמוכה. הפגיעה בסודיות, בשלמות ובזמינות מסומנת כגבוהה גם בעמדה עצמה וגם מעבר לה.
מי מושפע?
הרשומה מגדירה את הטווח במדויק: קושחת Autel MaxiCharger Single עד 1.03.51. היא אינה מרחיבה לדגמים אחרים, ולכן גם הדף הזה אינו מרחיב.
בישראל עמדות טעינה ביתיות ועמדות במקומות עבודה הפכו בשנים האחרונות לציוד נפוץ, והן מותקנות כמעט תמיד בידי מתקין חיצוני שמגדיר את העמדה ואז הולך. התוצאה היא שלרוב הבעלים אין מושג איזו גרסת קושחה רצה אצלו, וגם לא הרגל לבדוק. זה הפער שהדף הזה מנסה לסגור.
הווקטור אכן מסמן שההשפעה חורגת מהעמדה עצמה, אבל מה היא כוללת בפועל הרשומה אינה מפרטת. לכן נאמר כאן רק מה שכתוב בה: מי שמתחבר כמנהל מקבל את מה שממשק הניהול מאפשר.
האם מנוצלת בפועל?
הקטלוג של CISA, שמרכז חולשות שיש עדות לניצול שלהן בשטח, אינו כולל את החולשה הזאת, ואין דיווח אחר על ניצול.
יש כאן בכל זאת הבחנה ששווה להבין. התיאור אומר שהתוקף צריך להכיר את המנגנון ואת הערכים שנכנסים אליו, ולא מדובר בסיסמה אחת שאפשר לפרסם בשורה אחת ולסיים את העניין. מצד שני, החולשה פורסמה ב-NVD ביולי 2026 לצד מחקר של CyberDanube, חברת מחקר אבטחה שבדקה את המוצר ופרסמה את מה שמצאה. ככל שעובר זמן מפרסום של מחקר כזה, ההנחה שהמנגנון נשאר סוד נחלשת.
מה עושים?
1. בררו איזה דגם ואיזו גרסת קושחה מותקנים אצלכם. אם העמדה הותקנה בידי מתקין או חברה, זאת שאלה שאפשר להפנות אליהם ישירות, וכדאי לבקש תשובה במספרים ולא באישור כללי שהכול מעודכן.
2. הרשומה אינה מציינת גרסה מתוקנת, ולכן אין כאן מספר לעדכן אליו. פנו ליצרן או למתקין ושאלו אם שוחררה קושחה מעל 1.03.51 שמטפלת בחולשה הזאת.
3. בינתיים, הגבילו מי יכול להגיע לממשק הניהול של העמדה. התקיפה שהרשומה מתארת היא התחברות לממשק הזה מהרשת, ולכן עמדה שהממשק שלה אינו נגיש מהאינטרנט מצמצמת מאוד את מי שיכול לנסות. אם העמדה מחוברת לרשת האלחוטית הביתית, הפרדה שלה לרשת נפרדת מצמצמת גם את מי שמגיע אליה מתוך הבית.
4. אל תסתפקו בהחלפת הסיסמה שלכם. החשבונות שבהם מדובר אינם שלכם ואינם מופיעים בממשק, ולכן סיסמה חדשה לחשבון המנהל שאתם מכירים אינה סוגרת את הדרך הזאת.
5. המחקר של CyberDanube הוא המקום שבו הפרטים פורסמו, ושווה לעקוב אחריו לעדכונים בנושא תיקון.