L'advisory ZDI-26-437, pubblicato il 15 luglio 2026 da Trend Micro Zero Day Initiative, svela una vulnerabilità di esecuzione remota di codice nel caricabatterie residenziale Autel MaxiCharger AC Elite Home. La falla, scoperta in contesto Pwn2Own e identificata come CVE-2026-13308 con punteggio CVSS 8.1 secondo la lista advisory ZDI, permette a un attaccante remoto non autenticato di compromettere completamente il dispositivo sfruttando un integer underflow nei messaggi WebSocket del servizio OCPP. La segnalazione al vendor risale al 19 marzo: quasi quattro mesi di coordinazione prima del rilascio pubblico.
- La vulnerabilità ZDI-26-437 (CVE-2026-13308, CVSS 8.1) colpisce il caricabatterie EV residenziale Autel MaxiCharger AC Elite Home.
- L'exploit avviene via integer underflow in messaggi WebSocket del servizio OCPP, senza richiesta di autenticazione.
- L'impatto documentato è esecuzione remota di codice arbitrario nel contesto del dispositivo embedded.
- La scoperta è avvenuta in contesto Pwn2Own, con segnalazione vendor il 19 marzo 2026 e rilascio coordinato il 15 luglio 2026.
Come funziona l'attacco: integer underflow nei messaggi OCPP
Il protocollo OCPP (Open Charge Point Protocol) è lo standard de facto per la comunicazione tra colonnine di ricarica e sistemi di gestione centralizzata. Nella sua funzione legittima, consente a un operatore di rete di monitorare lo stato del dispositivo, avviare o interrompere sessioni, aggiornare configurazioni. L'implementazione Autel, tuttavia, presenta un difetto critico nel parsing di questi messaggi.
Secondo l'advisory ZDI, "la falla specifica esiste nella gestione dei messaggi WebSocket relativi al servizio OCPP. Il problema deriva dalla mancata validazione corretta dei dati forniti dall'utente, che può generare un integer underflow prima dell'allocazione di un buffer". La corruzione di memoria conseguente apre la strada all'esecuzione di codice arbitrario. La stessa fonte precisa che "autenticazione non è richiesta per sfruttare questa vulnerabilità" e che "un attaccante può sfruttarla per eseguire codice nel contesto del dispositivo".
"This vulnerability allows remote attackers to execute arbitrary code on affected installations of Autel MaxiCharger AC Elite Home EV chargers. Authentication is not required to exploit this vulnerability." — ZDI Advisory ZDI-26-437
Il vettore è completamente remoto: non serve accesso fisico alla colonnina, né compromissione preliminare della rete locale. Un attaccante con visibilità di rete sul servizio OCPP esposto può inviare un messaggio WebSocket malformato che innesca la sequenza underflow-allocazione-corruzione-esecuzione.
Perché il CVSS 8.1 è particolarmente grave per un dispositivo domestico
Con un punteggio di 8.1 su 10, la vulnerabilità si colloca nella fascia "alta" della scala CVSS, al di sotto della soglia "critica" (9.0-10.0) ma con caratteristiche che ne amplificano la pericolosità nel contesto specifico. La tripla combinazione — impatto RCE, assenza di autenticazione, accesso remoto — è rara in dispositivi IoT consumer e rappresenta il peggiore scenario pratico per un oggetto che l'utente installa e dimentica.
Il caricabatterie residenziale non è un router gestito da un IT team: è un elettrodomestico di infrastruttura critica installato in garage e posti auto privati, spesso connesso direttamente a Internet o esposto tramite port forwarding per consentire la gestione remota. La manutenzione firmware dipende dalla risposta del singolo produttore e dall'attenzione dell'utente finale, tipicamente bassa per questa categoria di prodotti.
Il record CVE-2026-13308 è riservato da CNA secondo CVE.org, confermando l'assegnazione ufficiale. Tuttavia, né l'advisory ZDI né le fonti disponibili riportano la stringa vettoriale CVSS completa né specificano versioni firmware affette o correttive. Il brief non documenta misure correttive specifiche rilasciate da Autel.
Il contesto Pwn2Own: quando la competizione valida l'exploitabilità reale
L'etichetta "(Pwn2Own)" nel titolo advisory non è decorativa. Il contesto Pwn2Own, organizzato da Trend Micro ZDI, richiede dimostrazioni funzionanti di exploit contro target reali e aggiornati. Una vulnerabilità che emerge da questo ambiente ha superato il filtro della prova pratica: non è una teoria, è una compromissione documentata in tempo reale davanti a testimoni.
Lo stesso rilascio ZDI del 15 luglio 2026 include altre quattro advisory relative ad Autel, con meccanismi diversi: heap overflow via USB (ZDI-CAN-29048), stack overflow NFC (ZDI-CAN-29044), bypass autenticazione USB (ZDI-CAN-29046), bypass firma aggiornamenti (ZDI-CAN-29062). Questa concentrazione suggerisce una superficie di attacco amplia nel firmware della famiglia MaxiCharger, anche se le fonti non confermano esplicitamente che altri modelli oltre all'AC Elite Home siano affetti dalla specifica falla WebSocket.
Il brief non specifica la natura dei dati esposti o compromissibili in un eventuale attacco riuscito. Il dossier non documenta inoltre la presenza di exploit in-the-wild o campagne attive.
OCPP come superficie di attacco: il paradosso dell'interoperabilità
Il protocollo OCPP è nato per risolvere un problema reale: la frammentazione dei sistemi di ricarica. Standardizzato da Open Charge Alliance, garantisce che colonnine di produttori diversi parlino lo stesso linguaggio con qualsiasi backend di gestione. Ma questa apertura si trasforma in rischio quando l'implementazione firmware manca di controlli di validazione rigorosi sui confini del messaggio.
L'integer underflow in questione è un classico errore di programmazione C/C++ in ambiente embedded: una dimensione utente non validata, decrementata sotto zero, diventa un numero enorme per aritmetica senza segno, con conseguente allocazione sottodimensionata e scrittura oltre i limiti. Che questo accada in un dispositivo IoT energy gestisce flussi elettrici domestici rende il difetto non solo informatico ma fisico-infrastrutturale.
Il brief non specifica se il messaggio WebSocket trigger richieda dimensioni particolari, offset precisi o sequenze multiple. Il dossier non documenta inoltre il numero esatto di dispositivi esposti su Internet né la presenza di scan attivi o cataloghi di target.
Cosa fare adesso
La fonte citata non dettaglia misure correttive specifiche né azioni raccomandate per utenti o operatori. Sulla base dei dati documentati, emergono quattro ambiti di attenzione prioritaria:
- Verificare la presenza del modello Autel MaxiCharger AC Elite Home nel proprio parco dispositivi e monitorare comunicazioni ufficiali del vendor su aggiornamenti firmware.
- Ridurre l'esposizione di superfici OCPP a Internet aperto: se la colonnina è accessibile da remoto, valutare restrizioni di accesso di rete in attesa di chiarimenti sullo stato della patch.
- Richiedere esplicitamente al vendor o al distributore informazioni sulla disponibilità di firmware correttivo per CVE-2026-13308, dato che l'advisory ZDI non riporta URL patch specifico.
- Per operatori di reti di ricarica: mappare l'eventuale presenza aggregata di unità Autel nella propria infrastruttura e valutare segmentazione di rete che isoli il traffico OCPP da altri sistemi critici.
Lettura: quando l'auto elettrica porta l'attaccante in garage
La vulnerabilità ZDI-26-437 incarna una transizione di minaccia: i dispositivi che gestiscono energia elettrica domestica stanno acquisendo la stessa superficie di attacco di server e workstation aziendali, ma con frazione della visibilità di sicurezza. Il protocollo OCPP, pensato per interoperabilità, diventa vettore di compromissione totale quando l'implementazione tratta i dati di rete come fidati.
Il caso Autel non è isolato nel panorama EV: è indicativo di un gap strutturale. I produttori di colonnine residenziali operano nel mercato consumer con cicli di sviluppo compressi, competenze di sicurezza variabili e incentivi commerciali spostati verso funzionalità e costo. Il risultato è un embedded energy IoT connesso a Internet, gestito da remoto, che esegue codice nativo senza autenticazione se il messaggio è malformato nel modo giusto.
Il contesto Pwn2Own ha dimostrato che l'exploit è non solo possibile ma replicabile. La domanda che resta aperta, e che il dossier non risolve, è quante unità siano effettivamente esposte e con quale tempistica il vendor chiuderà la falla.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-437/
- http://www.zerodayinitiative.com/advisories/published/
- https://www.cve.org/CVERecord?id=CVE-2026-13308
- https://www.trendmicro.com/
- https://www.trendmicro.com/en_us/business/products/one-platform.html