Il 30 luglio 2026 l'advisory ZDI-26-518 ha reso pubblica una vulnerabilità nel servizio MQTT dei dispositivi Phoenix Contact CHARX SEC-3150, colonnine di ricarica per veicoli elettrici diffuse nelle infrastrutture critiche. La falla, tracciata come CVE-2026-44091, consente a un attaccante in posizione network-adjacent e senza autenticazione di manipolare il broker MQTT per indirizzare richieste verso risorse interne non autorizzate. Il risultato è un classico scenario SSRF che, concatenato con altre vulnerabilità, può sfociare in esecuzione remota di codice.
- La vulnerabilità ZDI-26-518 interessa il broker MQTT dei dispositivi Phoenix Contact CHARX SEC-3150 per infrastrutture di ricarica EV
- Un attaccante network-adjacent non autenticato sfrutta la mancata validazione di URI per forzare richieste verso risorse interne
- L'SSRF isolato diventa RCE completo solo in concatenazione con altre vulnerabilità, nel contesto dell'account user-app
- Il CVE Record ufficiale assegna punteggi contrastanti: CVSS 3.1 a 9.1 CRITICAL e CVSS 4.0 a 8.8 HIGH, mentre la lista ZDI pubblicata riporta 6.3
- Il firmware correttivo v1.9.1 è previsto per il 12 agosto 2026, con disclosure iniziale al vendor risalente al 9 febbraio 2026
Il meccanismo: quando il broker MQTT non controlla dove parla
La falla specifica risiede nel servizio MQTT del firmware CHARX SEC-3150. Secondo l'advisory ZDI, "the issue results from the lack of proper validation of a URI prior to accessing resources". Il broker, incaricato di gestire i messaggi tra dispositivi IoT/OT, accetta URI senza verificarne la destinazione legittima. Questa omissione permette a un attaccante di reindirizzare il traffico interno verso endpoint che non dovrebbero essere raggiungibili dall'esterno.
Il vettore è tecnicamente un SSRF: Server-Side Request Forgery. Non si tratta di una compromissione diretta del dispositivo, ma di un'inversione del flusso di comunicazione. L'attaccante convince il server a fare da proxy involontario, sondando porte, servizi e interfacce amministrative normalmente isolate nel segmento di rete interno. La posizione network-adjacent richiesta per l'exploit riduce la superficie d'attacco rispetto a un'esposizione su Internet, ma non la elimina: reti aziendali mal segmentate, accesso WiFi ospiti, o compromissioni preliminari di endpoint vicini aprono comunque la strada.
Da SSRF a RCE: la catena che non dipende da una sola falla
L'advisory ZDI specifica con precisione i limiti della vulnerabilità isolata. La citazione testuale è inequivocabile: "An attacker can leverage this in conjunction with other vulnerabilities to execute arbitrary code in the context of the user-app account". L'SSRF è il primo anello, non l'intera catena. Per ottenere RCE completo è necessario concatenare CVE-2026-44091 con falle aggiuntive non dettagliate nel dossier pubblico.
Questa distinzione ha conseguenze operative concrete. Un difensore non può limitarsi a monitorare tentativi di SSRF diretto come se fossero exploit completi, ma neanche può sottovalutare il rischio. L'SSRF come vettore di accesso interno rimane uno strumento potente per ricognizione, manipolazione della configurazione MQTT, e preparazione di attacchi multi-stadio. Nel contesto delle infrastrutture di ricarica EV, dove la disponibilità e l'integrità del servizio sono critiche, anche un accesso parziale al broker può tradursi in interruzione operativa o alterazione dei parametri di ricarica.
"This vulnerability allows network-adjacent attackers to access internal resources on affected installations of Phoenix Contact CHARX SEC-3150 devices. Authentication is not required to exploit this vulnerability." — ZDI Advisory ZDI-26-518
I numeri in conflitto: perché il punteggio CVSS oscilla tra 6.3 e 9.1
Il dossier presenta una discrepanza nei punteggi di severità che non può essere ignorata. La lista ZDI published assegna a CVE-2026-44091 un CVSS di 6.3, un valore che classificherebbe la vulnerabilità come MEDIUM. Il CVE Record ufficiale riporta invece due metriche: CVSS 3.1 a 9.1 CRITICAL con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H, e CVSS 4.0 a 8.8 HIGH.
L'interpretazione di questa divergenza richiede cautela. Il vettore CVSS 3.1 con Access Vector Network (AV:N) e Privileges Required None (PR:N) descrive una falla raggiungibile senza autenticazione su rete, con impatto alto su integrità e disponibilità. Il punteggio ZDI di 6.3 potrebbe riflettere una valutazione più conservativa, forse ponderata sulla necessità di accesso network-adjacent o sulla complessità della catena RCE. La fonte non chiarifica quale sia il criterio corretto, e il dossier segnala esplicitamente questa incertezza tra i limiti. Per il lettore, l'indicazione pratica è che CVE-2026-44091 rientra in una fascia di rischio elevato, con la versione 3.1 che ne esagera leggermente la gravità rispetto alla realtà operativa e la versione ZDI che potrebbe sottostimarla.
Timeline e fix: cinque mesi dalla segnalazione alla patch
La cronologia documentata mostra una disclosure responsabile ma non rapida. La vulnerabilità è stata riportata a Phoenix Contact il 9 febbraio 2026. La pubblicazione coordinata è avvenuta il 30 luglio 2026, con il firmware correttivo v1.9.1 previsto per il 12 agosto 2026. Questo intervallo di quasi sei mesi tra segnalazione e disponibilità della patch, con un ulteriore slittamento di quasi due settimane tra advisory e fix, colloca il dispositivo in una finestra di esposizione prolungata.
Il contesto Pwn2Own, esplicitamente citato nel titolo dell'advisory, conferma che la falla è stata dimostrata in competizione. Questo implica l'esistenza di proof-of-concept funzionanti, anche se non pubblici. La competizione Zero Day Initiative, organizzata da Trend Micro, premia ricercatori per exploit su target reali in condizioni controllate. La presenza di Giuseppe Calì, ricercatore identificato, e di un secondo partecipante indicato solo tramite hash crittografico, completa il quadro di una scoperta condivisa ma non ancora pienamente attribuita.
Cosa fare adesso
- Verificare la presenza di dispositivi Phoenix Contact CHARX SEC-3150 nel proprio parco installato e identificare la versione firmware in esecuzione
- Pianificare l'aggiornamento al firmware v1.9.1 non appena disponibile, il 12 agosto 2026, con priorità per i dispositivi esposti a segmenti di rete con accesso non controllato
- Isolare i broker MQTT delle infrastrutture di ricarica EV in VLAN dedicate, limitando la visibilità network-adjacent a dispositivi autorizzati
- Monitorare i log del servizio MQTT per anomalie nelle richieste URI, con particolare attenzione a destinazioni interne non previste nei flussi operativi standard
Perché questa falla racconta un problema più ampio dell'IoT industriale
La vulnerabilità ZDI-26-518 non è un caso isolato di implementazione difettosa, ma il sintomo di un disallinemento strutturale. I protocolli MQTT, CoAP e analoghi sono stati progettati per ambienti resource-constrained, dove la leggerezza del payload prevale sulla completezza dei controlli. Quando questi protocolli migrano verso infrastrutture critiche — colonnine di ricarica EV, sistemi di gestione energetica, reti di distribuzione idrica — la stessa leggerezza diventa un passivo.
Il settore della ricarica elettrica è in espansione accelerata, con superfici di attacco che crescono più velocemente delle competenze di hardening distribuite tra operatori di rete, installatori e gestori di flotta. Phoenix Contact è un vendor consolidato nell'automazione industriale, e il CHARX SEC-3150 rappresenta un prodotto di fascia professionale. Se anche qui la validazione degli input nel broker MQTT manca, il problema si riproduce con maggiore probabilità nei dispositivi di fascia consumer o nei white-label meno controllati.
L'advisory non documenta exploit in-the-wild né campagne attive, ma il contesto Pwn2Own e la pubblicazione coordinata espongono la vulnerabilità a un pubblico di ricercatori e potenziali attaccanti. La finestra tra disclosure e patch è il momento di massima incertezza: sufficiente per la diffusione di exploit, insufficente per una mitigazione definitiva.
Fonti
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.