Phoenix Contact CHARX: credenziali nei log aprono stazioni di ricarica EV

Il 30 luglio 2026 il programma TrendAI Zero Day Initiative ha pubblicato l'advisory ZDI-26-506, che documenta una vulnerabilità nel caricabatterie industriale Phoenix Contact CHARX SEC-3150. Il difetto, catalogato come CVE-2026-44105, consente a un attaccante in posizione network-adjacent di recuperare credenziali da file di log e bypassare l'autenticazione. La scoperta, presentata nel contesto Pwn2Own, mette a fuoco un problema trascurato nella convergenza tra sicurezza IT e sicurezza operativa industriale: i log di diagnostica, tradizionalmente considerati innocui, possono diventare il punto più debole di un'infrastruttura critica.

Il meccanismo: da log leggibili a accesso SSH

Il difetto risiede nel componente di generazione dei log del firmware del CHARX SEC-3150. Secondo l'advisory ZDI, "the specific flaw exists within the generation of log files. The issue results from including sensitive information in a log file". Il CVE Record CVE-2026-44105, pubblicato su cve.org, precisa che "the credentials for the local user 'user-app' may be exposed in log files, potentially enabling a low-privileged local attacker with access to the logs to authenticate via SSH as the limited user 'user-app'".

C'è una tensione tra queste due descrizioni che il dossier non risolve del tutto. L'advisory ZDI indica un attaccante "network-adjacent" per il quale "authentication is not required to exploit this vulnerability", mentre il CVE Record specifica "low-privileged local attacker with access to the logs". La matrice di attacco non è perfettamente allineata: il network-adjacent implica tipicamente stesso segmento di rete locale, il local richiede accesso al filesystem. Il brief non chiarisce se l'accesso ai log avvenga via protocollo di rete (syslog remoto, download tramite interfaccia web) o richieda presenza sul dispositivo.

Quel che è documentato è la catena funzionale. Le credenziali finiscono nei log. Qualcuno con capacità di leggere quei log le estrae. Con quelle credenziali si autentica via SSH come utente "user-app", che il CVE Record definisce "limited user". Non è un amministratore, ma l'accesso non autorizzato a un dispositivo industriale di ricarica apre opzioni operative concrete: il CVE Record menziona esplicitamente che "charging could be interrupted".

Un punteggio che nasconde la geometria del rischio

La severità è MEDIUM in entrambe le scale. La lista published ZDI indica CVSS 5.3, mentre il CVE Record ufficiale riporta CVSS 3.1: 6.6 e CVSS 4.0: 5.8. Il brief non registra conflitti tra queste fonti: i punteggi sono coerenti con la fascia MEDIA, ma misurano dimensioni leggermente diverse della stessa vulnerabilità. Il CVE Record, fonte primaria autorevole per lo scoring, fornisce il vettore più dettagliato: AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:H in CVSS 3.1, che tradotto indica attacco locale, complessità bassa, privilegi bassi richiesti, nessuna interazione utente, scope invariato, impatto limitato su confidenzialità e integrità, ma alto sulla disponibilità.

Il dato A:H (disponibilità alta) è significativo per il contesto. Un caricabatterie industriale in una stazione di ricarica pubblica, in un hub fleet o in un'infrastruttura logistica non è un server generico: la sua indisponibilità si traduce direttamente in interruzione del servizio di ricarica, con impatti su continuità operativa e, potenzialmente, su contratti di service level agreement. Il punteggio medio complessivo non cattura questa asimmetria tra impatto IT standard e impatto operativo industriale.

"This vulnerability allows network-adjacent attackers to bypass authentication on affected installations of Phoenix Contact CHARX SEC-3150 devices. Authentication is not required to exploit this vulnerability."
— Advisory ZDI-26-506

Pwn2Own come termometro di un settore immaturo

La vulnerabilità è stata presentata nel contesto Pwn2Own, il programma di competizione che premia exploit zero-day su categorie hardware e software selezionate. La presenza di un caricabatterie EV in questa arena è indicativa: il settore della ricarica elettrica industriale sta attraversando la stessa fase di maturazione della sicurezza che hanno già affrontato settori come l'automotive tradizionale, l'IoT consumer e l'industrial control systems. Dispositivi progettati per resistere a condizioni ambientali estreme, con cicli di vita lunghi e aggiornamenti firmware complessi, spesso accumulano debito tecnico su dimensioni che non sono visibili nei datasheet.

I ricercatori che hanno scoperto il difetto — Nabih Benazzouz, Julien Cohen-Scali, Hugo Leclercq e Patrick Ventuzelo, tutti affiliati a Fuzzinglabs — hanno probabilmente identificato il problema tramite analisi del firmware e tecniche di fuzzing. La linea temporale è nota: report al vendor il 9 febbraio 2026, rilascio coordinato il 30 luglio 2026. Cinque mesi di disclosure coordinata, un periodo standard che però, in un settore con catene di approvvigionamento firmware complesse, può tradursi in finestra di esposizione prolungata per dispositivi già distribuiti.

Cosa fare adesso

Il firmware v1.9.1 corregge la vulnerabilità ed è disponibile entro il 12 agosto 2026 secondo l'advisory ZDI. Le azioni prioritarie per operatori di infrastrutture di ricarica, gestori fleet e integratori industriali sono quattro.

Primo: verificare la versione firmware installata su tutti i dispositivi CHARX SEC-3150 in parco. Il modello è identificato esplicitamente nell'advisory; la verifica deve essere dispositivo per dispositivo.

Secondo: pianificare l'aggiornamento al firmware v1.9.1 nella finestra di manutenzione più ravvicinata possibile alla data di disponibilità. L'advisory non indica distribuzione automatica; l'azione richiede intervento programmatico.

Terzo: limitare l'accesso ai file di log del dispositivo a entità autenticate e autorizzate, compatibilmente con l'architettura di rete esistente. Il brief non specifica se i log siano accessibili via rete o solo localmente; in assenza di questa informazione, la restrizione generalizzata è prudente.

Quarto: monitorare accessi SSH con credenziali dell'utente "user-app" sui dispositivi che non possono essere aggiornati immediatamente. Questo utente è citato esplicitamente dal CVE Record come veicolo di accesso post-exploit.

Il limite che resta

Il dossier non fornisce alcun elemento su tre questioni operative rilevanti. Non è noto il numero di dispositivi CHARX SEC-3150 distribuiti globalmente o la percentuale che riceve aggiornamenti automatici. Non è documentata la presenza di un exploit pubblico o proof-of-concept al di fuori del contesto Pwn2Own. Non è confermato che il firmware v1.9.1 sia stato effettivamente rilasciato entro il 12 agosto 2026 — la data, al momento della stesura, è futura rispetto all'advisory.

Questi limiti non attenuano la rilevanza della segnalazione. Piuttosto, la collocano in un contesto più ampio: l'industria della ricarica elettrica sta costruendo infrastrutture che saranno in campo per decenni, con requisiti di sicurezza che evolvono più rapidamente dei cicli di vita del hardware. Un caricabatterie che espone credenziali nei log è sintomo di un approccio alla diagnostica ereditato dall'IT tradizionale, applicato a un dominio dove le conseguenze operative sono diverse e spesso più severe. La correzione del difetto specifico è tecnicamente semplice; la costruzione di una cultura della sicurezza che tracci questo confine è il problema più grande.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-506/
• http://www.zerodayinitiative.com/advisories/published/
• https://www.cve.org/CVERecord?id=CVE-2026-44105
• http://www.zerodayinitiative.com/advisories/upcoming/
• https://www.trendmicro.com/
• https://www.trendmicro.com/en_us/business/products/one-platform.html

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti