Il 30 luglio 2026 il TrendAI Zero Day Initiative ha pubblicato l'advisory ZDI-26-520 che documenta una vulnerabilità di esecuzione remota di codice nel controller di ricarica elettrica industriale Phoenix Contact CHARX SEC-3150. Il bug, presentato nel contesto Pwn2Own, risiede nel firmware-update endpoint dove una stringa utente non validata permette di manipolare il percorso di aggiornamento. L'impatto è immediato per operatori di infrastrutture di ricarica e sistemi di smart grid: un attaccante nella stessa rete locale può eseguire codice arbitrario senza credenziali, con potenziale estensione al controllo fisico dei caricabatterie.
- RCE senza autenticazione su Phoenix Contact CHARX SEC-3150 per attaccanti network-adjacent
- Flaw di "External Control of Path" nel firmware-update endpoint con mancata validazione di stringa utente
- Patch disponibile in firmware v1.9.1, rilasciabile entro il 12 agosto 2026
- Vulnerabilità scoperta da Bongeun Koo ed Evangelos Daravigkas (Team DDOS) nel contesto Pwn2Own 2026
Il meccanismo: come un percorso firmware non validato apre al controllo remoto
L'advisory ZDI-26-520 identifica con precisione la superficie di attacco: il firmware-update endpoint del sistema operativo Jupicore che governa il controller CHARX SEC-3150. La vulnerabilità classificata come "External Control of Path" nasce dalla mancata validazione di una stringa fornita dall'utente prima che questa venga utilizzata per costruire il percorso di aggiornamento firmware.
Questa lacuna permette di manipolare il flusso di aggiornamento per sovrascrivere file arbitrari o caricare firmware malevolo. Il codice viene poi eseguito nel contesto del charging controller, con privilegi sufficienti a compromettere il dispositivo. La fonte specifica che l'exploit richiede condizione network-adjacent: l'attaccante deve risiedere nella stessa rete del dispositivo, non è un attacco traversabile da internet senza intermediazione.
"This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of Phoenix Contact CHARX SEC-3150 devices. Authentication is not required to exploit this vulnerability." — ZDI-26-520 advisory
La catena Pwn2Own: un ecosistema di bug interconnessi
La vulnerabilità emerge da un contesto specifico: il framework Pwn2Own, dove i ricercatori dimostrano exploit reali contro target industriali e IoT. La presenza di "Jupicore" nel titolo dell'advisory indica che il flaw interessa il sottosistema software dedicato alla gestione del firmware del dispositivo, non l'applicazione di ricarica in senso stretto.
Un elemento significativo dell'advisory è il riferimento all'esecuzione "in conjunction with other vulnerabilities". Questo segnala che ZDI-26-520 rappresenta probabilmente un anello di una catena di exploit più ampia, dove il controllo del percorso firmware funge da building block per raggiungere esecuzione di codice con effetti più estesi. La fonte non dettaglia quali siano queste vulnerabilità complementari, né se siano state divulgate contestualmente o rientrino in altri advisory della stessa serie Pwn2Own.
Timeline disclosure: sei mesi dalla segnalazione al rilascio coordinato
La cronologia documentata dall'advisory mostra un ciclo di responsible disclosure classico: la segnalazione iniziale al vendor è avvenuta il 9 febbraio 2026, con rilascio coordinato il 30 luglio 2026. Questo arco di circa cinque mesi e mezzo ha consentito a Phoenix Contact di sviluppare il firmware v1.9.1 che corregge il difetto.
La data di disponibilità pubblica del fix — entro il 12 agosto 2026 — lascia una finestra temporale in cui i dispositivi non ancora aggiornati restano esposti. La fonte non specifica se Phoenix Contact abbia distribuito update precedenti parziali o se v1.9.1 rappresenti il primo intervento correttivo sul problema.
Limiti del dossier e incognite tecniche
L'advisory ZDI-26-520, pur essendo strutturato e autorevole, presenta aree di non completezza documentale. Non risulta assegnato alcun identificatore CVE, né è riportato punteggio o vettore CVSS. Questo impedisce di collocare la vulnerabilità in framework quantitativi di prioritazione del rischio, anche se la natura pre-autenticata dell'RCE e il contesto industriale ne segnalano criticità intrinseca.
Il dossier non contiene proof-of-concept pubblici né descrizione tecnica del payload. Non è documentata attività di exploit in-the-wild. Resta inoltre non quantificato il parco dispositivi CHARX SEC-3150 effettivamente distribuiti e la loro esposizione in configurazioni di rete dove la condizione network-adjacent sia praticamente realizzabile — per esempio in reti WiFi ospiti o segmenti di smart grid con accesso controllato ma non isolato.
Perché è importante
La fonte non specifica misure compensative o workaround applicabili in attesa dell'aggiornamento firmware. Il dossier non documenta se Phoenix Contact abbia rilasciato bollettini propri o raccomandazioni operative supplementari oltre all'advisory ZDI. Non è indicato se la vulnerabilità interessi esclusivamente la versione firmware precedente alla v1.9.1 o se esistano varianti del CHARX SEC-3150 con diverso livello di esposizione.
Il brief non fornisce indicazioni su metodi di rilevamento di compromissione o log di audit che permettano di identificare tentativi di exploit del firmware-update endpoint. L'assenza di questi elementi costituisce un limite operativo per gli amministratori che necessitino di valutare se dispositivi sotto loro gestione siano già stati bersaglio di attività malevola.
Resta infine non documentato dalla fonte se l'architettura di sicurezza del CHARX SEC-3150 preveda meccanismi di verifica firma firmware o secure boot in grado di mitigare — anche parzialmente — il caricamento di aggiornamenti non autorizzati, indipendentemente dalla vulnerabilità di path validation.
Chi ha scoperto il flaw
La ricerca è attribuita a Bongeun Koo, operante con il handle @kiddo_pwn, e Evangelos Daravigkas, con handle @freddo_1337, entrambi membri di Team DDOS. Il loro lavoro è stato presentato nel contesto Pwn2Own, confermando che la dimostrazione dell'exploit è avvenuta in condizioni controllate di competizione, non in ambiente di produzione reale.
Domande frequenti
È necessario essere connessi a internet per sfruttare questa vulnerabilità?
No. L'advisory specifica esplicitamente che l'attaccante deve essere network-adjacent, ovvero nella stessa rete locale del dispositivo. Non è un attacco remoto in senso geografico.
Perché non è stato assegnato un CVE?
Il dossier non documenta le ragioni dell'assenza di identificatore CVE. Può trattarsi di CVE in corso di assegnazione, di scelta di ZDI di non richiederne uno per questa advisory, o di tempistiche di pubblicazione non ancora allineate con il database MITRE.
Cosa significa "in conjunction with other vulnerabilities"?
L'advisory indica che il controllo del percorso firmware può essere combinato con altri bug per ottenere esecuzione di codice nel contesto del charging controller. La fonte non specifica quali siano queste altre vulnerabilità né se siano pubbliche o gestite in disclosure separata.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-520/
- http://www.zerodayinitiative.com/advisories/published/
- http://www.zerodayinitiative.com/advisories/upcoming/
- https://www.trendmicro.com/
- https://www.trendmicro.com/en_us/business/products/one-platform.html
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.