Il 15 luglio 2026 il programma Zero Day Initiative di Trend Micro ha reso pubblica l'advisory ZDI-26-437, documentando una vulnerabilità di esecuzione remota di codice nel caricabatterie domestico Autel MaxiCharger AC Elite Home. Il difetto, originato nell'ambito della competizione Pwn2Own, consente a un attaccante remoto di prendere il controllo del dispositivo senza dover presentare credenziali. La disclosure arriva dopo quasi quattro mesi di coordinamento con il vendor, con la segnalazione iniziale datata 19 marzo 2026.
- La vulnerabilità ZDI-26-437 interessa esclusivamente il modello Autel MaxiCharger AC Elite Home e consente RCE pre-autenticazione
- Il meccanismo di attacco sfrutta un integer underflow nel parsing di messaggi WebSocket del servizio OCPP
- Il CVE associato CVE-2026-13308 risulta attualmente in stato riservato, senza dettagli tecnici aggiuntivi
- ZDI non ha pubblicato né punteggio CVSS né vector di severità per questa advisory
Il meccanismo: integer underflow in messaggi WebSocket OCPP
Il difetto risiede nella gestione dei messaggi WebSocket relativi al servizio OCPP, l'Open Charge Point Protocol standard nell'ecosistema di ricarica elettrica. Secondo l'advisory ZDI, la mancanza di validazione appropriata dei dati forniti dall'utente può generare un integer underflow prima dell'allocazione di un buffer. Questo errore aritmetico produce una dimensione di memoria sottodimensionata, con conseguente heap overflow o scrittura out-of-bounds nel contesto del processo del dispositivo.
L'architettura embedded ARM/Linux del caricabatterie rende il payload eseguibile nel contesto del processo vulnerabile, trasformando il difetto di memoria in esecuzione arbitraria di codice. La natura pre-autenticazione dell'attacco elimina qualsiasi barriera di accesso: un attaccante con connettività di rete verso il dispositivo può raggiungere il controllo completo senza credenziali.
Dalla competizione al mondo reale: la genesi Pwn2Own
ZDI-26-437 porta l'etichetta Pwn2Own, indicando che la vulnerabilità è stata dimostrata in campo durante la competizione di hacking che Trend Micro ospita annualmente. Questa provenienza ha doppia valenza: da un lato conferma che l'exploit è tecnicamente realizzabile e affidabile; dall'altro implica che la catena di attacco è già nota a una cerchia di ricercatori ben oltre il perimetro di ZDI.
Il percorso dal dimostratore di competizione alla potenziale replica in ambiente non controllato non è automatico, ma la componente WebSocket/OCPP espone una superficie standardizzata che riduce la complessità di adattamento. Il servizio OCPP è progettato per la comunicazione tra stazione di ricarica e sistema di gestione centrale: la sua presenza su dispositivi domestici estende il raggio d'azione oltre il mero consumatore finale.
Il vuoto informativo: cosa il dossier non documenta
L'advisory ZDI presenta lacune significative che limitano la valutazione del rischio complessivo. Non risulta dichiarata alcuna versione firmware specifica interessata dal difetto. Non è disponibile alcuna indicazione sulla disponibilità o meno di patch correttive da parte di Autel. Il CVSS score e il vector, usuali strumenti di quantificazione della severità, non sono stati pubblicati nell'ambito di questa advisory.
Resta inoltre non specificato se la superficie di attacco del dispositivo sia esposta direttamente a Internet o richieda accesso alla rete locale dell'utente. Il record CVE-2026-13308, riservato dalla CNA, non fornisce dettagli tecnici aggiuntivi rispetto all'advisory primaria. Questi limiti impediscono di dimensionare con precisione la popolazione di unità effettivamente a rischio.
Cosa fare adesso
Gli operatori che gestiscono installazioni con Autel MaxiCharger AC Elite Home devono considerare tre azioni immediate. Primo: verificare l'esposizione del servizio OCPP/WebSocket verso reti non attendibili, isolando il dispositivo tramite VLAN dedicate o regole firewall che limitino l'accesso ai soli endpoint del gestore di ricarica autorizzato. Secondo: monitorare i log di rete per connessioni WebSocket anomale verso la wallbox, in particolare messaggi di dimensione insolita o pattern ripetitivi che possano indicare tentativi di trigger dell'underflow. Terzo: contattare direttamente il supporto Autel per richiedere esplicitamente lo stato di eventuali aggiornamenti firmware correttivi, documentando la richiesta in attesa di risposta ufficiale.
Per gli utenti domestici, la priorità è la segmentazione di rete: posizionare il caricabatterie in una subnet separata da dispositivi sensibili come workstation, NAS o sistemi di automazione. Disabilitare, ove possibile, l'accesso remoto al pannello di amministrazione del dispositivo e verificare che il router non esponga porte WebSocket verso l'esterno tramite UPnP o configurazioni manuali.
"This vulnerability allows remote attackers to execute arbitrary code on affected installations of Autel MaxiCharger AC Elite Home EV chargers. Authentication is not required to exploit this vulnerability." — ZDI Advisory ZDI-26-437
Lettura: quando la wallbox diventa entry point
L'emergere di una RCE pre-autenticazione in un caricabatterie domestico segnala un punto di frizione strutturale nella transizione energetica. I dispositivi di ricarica EV sono progettati con protocolli industriali — OCPP in primis — che nascono per infrastrutture gestite e monitorate. La loro adozione in contesti residenziali, spesso senza le medesime garanzie di sicurezza operativa, espone protocolli maturi a threat model inediti.
La scelta di ZDI di pubblicare l'advisory senza CVSS né dettagli di patch potrebbe riflettere uno stallo nel coordinamento con il vendor, oppure una valutazione di impatto condizionata dalla difficoltà di mappare la vera superficie esposta. Ciò che resta è un dispositivo di larga diffusione domestica con una vulnerabilità dimostrata e pubblica, in attesa di risposta.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-437/
- https://www.cve.org/CVERecord?id=CVE-2026-13308
- https://www.trendmicro.com/en_us/business/products/one-platform.html