Il 30 luglio 2026 TrendAI Zero Day Initiative ha pubblicato l'advisory ZDI-26-521 su una vulnerabilità di command injection nei dispositivi Phoenix Contact CHARX SEC-3000. Un attaccante posizionato adiacente alla rete, con credenziali valide, può eseguire codice arbitrario nel contesto di root manipolando il parametro defaultroutemetric del servizio config. La falla, tracciata come CVE-2026-44095, espone a compromissione totale i dispositivi di sicurezza dedicati alle infrastrutture di ricarica per veicoli elettrici.
La gravità è confermata da entrambe le metriche CVSS: 8.5 HIGH nella versione 4.0 e 7.8 HIGH nella versione 3.1, secondo il record ufficiale CVE. Phoenix Contact ha reso disponibile un aggiornamento correttivo. Il tempo tra la segnalazione privata al vendor, avvenuta il 14 aprile 2026, e la disclosure coordinata è stato di 107 giorni.
- La vulnerabilità interessa esclusivamente i dispositivi Phoenix Contact CHARX SEC-3000, componenti di sicurezza per infrastrutture di ricarica EV.
- Il vettore è una command injection nel parametro
defaultroutemetricdel servizio config, causata da mancata validazione della stringa utente prima dell'esecuzione di system call. - L'autenticazione è richiesta: l'attaccante deve disporre di credenziali valide per raggiungere il punto di injection.
- Il record CVE-2026-44095 assegna severità HIGH con CVSS 4.0 a 8.5 e CVSS 3.1 a 7.8, classificazione CWE-78.
Come funziona l'attacco: dalla metrica di routing alla shell di root
La falla risiede nel servizio config del dispositivo. L'advisory ZDI-26-521 descrive con precisione il meccanismo: il parametro defaultroutemetric, normalmente destinato a configurare una proprietà di routing di rete, riceve input utente senza adeguata sanificazione. La stringa viene passata direttamente a una system call, aprendo una finestra di command injection controllata dall'attaccante.
L'esecuzione avviene nel contesto di root. Questo dettaglio trasforma la vulnerabilità da semplice elevazione di privilegi a compromissione totale del dispositivo: filesystem, processi di sistema, configurazioni di rete e stack di sicurezza diventano accessibili senza ulteriori barriere. Il modello di minaccia è circoscritto dalla condizione di rete — l'attaccante deve trovarsi in posizione network-adjacent — ma all'interno di un'infrastruttura di ricarica EV questa superficie è tutt'altro che trascurabile.
"The specific flaw exists within the handling of the defaultroutemetric parameter to the config service. The issue results from the lack of proper validation of a user-supplied string before using it to execute a system call."
Perché i dispositivi CHARX SEC-3000 sono un bersaglio sensibile
I dispositivi della serie CHARX SEC-3000 di Phoenix Contact costituiscono il perimetro di sicurezza tra colonnine di ricarica e reti elettriche operative. Collocati in stazioni di ricarica pubbliche, infrastrutture aziendali e hub di flotta, gestiscono autenticazione, monitoraggio e isolamento dei carichi. La loro compromissione non si limita al singolo asset: un dispositivo soggiogato con privilegi di root può essere riconfigurato per intercettare comunicazioni, alterare parametri di carica, disconnettere veicoli o fungere da ponte verso segmenti di rete più ampi.
L'angolo di attacco è coerente con una tendenza osservata nei sistemi industriali e OT: parametri di configurazione apparentemente innocui — metriche di routing, variabili ambientali, flag di sistema — diventano vettori di RCE quando il codice di fondo assume la bontà dell'input senza validazione. Il servizio config, per sua natura privilegiato, rappresenta in questo caso il punto di rottura.
L'advisory ZDI non specifica il numero di versione firmware interessato né la dimensione del parco installato. Resta inoltre non documentato il livello di autenticazione richiesto: se admin, user o ruolo intermedio. Questi limiti riducono la capacità degli operatori di stilare inventari di esposizione precisi senza verifica diretta su ogni dispositivo.
Il contesto della disclosure: 107 giorni di coordinazione
La timeline rivela una gestione standard del processo di disclosure coordinata: segnalazione il 14 aprile 2026, rilascio pubblico il 30 luglio 2026. Phoenix Contact ha emesso un aggiornamento entro questo arco. La durata, poco superiore ai tre mesi, colloca l'advisory nella media delle tempistiche ZDI, che generalmente concedono ai vendor un periodo di remediation prima della pubblicazione.
Il record CVE-2026-44095, pubblicato su cve.org, conferma la classificazione CWE-78 — Improper Neutralization of Special Elements used in an OS Command — e armonizza la descrizione tecnica con l'advisory primario. La discrepanza minore tra l'indicazione "network-adjacent" in ZDI e "AV:L" (Attack Vector: Local) nel CVSS 3.1 di CVE.org non costituisce conflitto sostanziale: il modello CVSS 3.1 comprime vettori di prossimità di rete sotto categorie più generiche, mentre l'advisory ZDI specifica con maggiore granularità la posizione dell'attaccante.
Cosa fare adesso
- Verificare la presenza di dispositivi CHARX SEC-3000 nel proprio parco installato e confermare con Phoenix Contact l'applicabilità della patch rilasciata.
- Isolare i dispositivi non aggiornabili immediatamente su segmenti di rete con accesso limitato, riducendo la superficie esposta a potenziali attaccanti adiacenti.
- Rivedere i log di accesso al servizio config per identificare richieste anomale sul parametro
defaultroutemetricnel periodo precedente alla disclosure. - Contattare il supporto Phoenix Contact per ottenere indicazioni specifiche sulla procedura di aggiornamento, dato che l'advisory non dettaglia il processo di remediation.
Un segnale più ampio: la sicurezza dei dispositivi EV come frontiera OT
La vulnerabilità ZDI-26-521 si inserisce in un arco narrativo più vasto. L'espansione delle infrastrutture di ricarica elettrica sta estendendo il perimetro OT oltre le tradizionali centrali e sottostazioni: ogni stazione di ricarica è un nodo di rete con dispositivi di sicurezza, controllori di carica, gateway di comunicazione. Questi nodi condividono un tratto comune — software di sistema che gestisce parametri di rete con privilegi elevati — e una debolezza comune: la fiducia implicita nell'input di configurazione.
Il parametro defaultroutemetric non è un'API esposta, un endpoint REST o un pannello di amministrazione web visibile. È un campo di configurazione di sistema, tecnicamente banale, che diventa letale per mancanza di un controllo elementare. Questo pattern — l'input utente che attraversa tutto lo stack fino alla system call senza validazione — è tra i più antichi e tra i più persistenti nelle codebas industriali, dove i servizi di configurazione spesso ereditano architetture datate.
Per gli operatori di infrastrutture di ricarica, la lezione operativa è immediata: i dispositivi di sicurezza non sono barriere inattaccabili, ma software con superfici di attacco concrete. La loro protezione richiede patching tempestivo, segmentazione di rete e monitoraggio dei servizi interni con lo stesso rigore riservato agli endpoint pubblici.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-521/
- https://www.cve.org/CVERecord?id=CVE-2026-44095
- http://www.zerodayinitiative.com/advisories/upcoming/
- https://www.trendmicro.com/
- https://www.trendmicro.com/en_us/business/products/one-platform.html
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.