CTEK Chargeportal Falta de Autenticación para Función Crítica

Esta vulnerabilidad presenta un riesgo significativo para las redes de carga eléctrica. Un atacante puede conectarse a los endpoints WebSocket de Chargeportal utilizando un identificador de estación de carga conocido o descubierto, emitiendo o recibiendo comandos OCPP sin necesidad de autenticación. Esto permite la suplantación de estaciones, el control no autorizado de la infraestructura de carga, y la corrupción de los datos de carga reportados al backend. La falta de autenticación abre la puerta a la manipulación de precios, la interrupción del servicio, y potencialmente, el acceso a información sensible relacionada con los usuarios y las transacciones de carga. Un ataque exitoso podría tener un impacto considerable en la disponibilidad y la integridad de la red de carga.

Organizations deploying Chargeportal in environments with limited network segmentation are particularly at risk. Shared hosting environments where multiple charging stations share the same Chargeportal instance are also vulnerable, as an attacker compromising one station could potentially gain access to others. Legacy Chargeportal deployments with outdated configurations and inadequate security controls are also at heightened risk.

• other / supply-chain: Monitor network traffic for unauthorized connections to the OCPP WebSocket endpoint. Examine Chargeportal logs for suspicious activity, particularly connections from unknown IP addresses or using unusual charging station identifiers.

# Example: Monitor for connections to the OCPP WebSocket port (typically 9000)
sudo tcpdump -i any port 9000 | grep -i 'chargeportal'

1. 2026-03-20Disclosure

   disclosure

1. Reservado2026-03-12
2. Publicada2026-03-20
3. Modificada2026-03-23
4. EPSS actualizado2026-03-28

La mitigación principal para CVE-2026-25192 es actualizar Chargeportal a la versión corregida, una vez que esté disponible. Mientras tanto, se recomienda implementar medidas de seguridad adicionales. Una opción es configurar un firewall para restringir el acceso a los endpoints WebSocket solo a direcciones IP autorizadas. Otra medida es implementar una solución de autenticación robusta en el nivel de aplicación, que requiera la verificación de la identidad de la estación de carga antes de permitir cualquier comunicación. Se debe revisar la configuración de OCPP para asegurar que no se estén utilizando contraseñas predeterminadas o débiles. Después de aplicar las actualizaciones o configuraciones, verificar la seguridad de la conexión WebSocket utilizando herramientas de prueba de penetración.