CVE-2026-44101: Kritisk fejl i CHARX OCPP Agent
CHARX OCPP Agent mangler godkendelse, så angribere uden login kan omkonfigurere ladestanderes backend-forbindelse. Isolér tjenesten og kontakt leverandøren.
Hvad er det?
CVE-2026-44101 er en sårbarhed i CHARX OCPP Agent, en tjeneste der styrer kommunikationen mellem elbil-ladestandere og et centralt backend-system via protokollen OCPP (Open Charge Point Protocol, standarden for opladningsstyring). Fejlen skyldes manglende godkendelse (CWE-306): tjenesten kontrollerer ikke, om den, der forbinder sig, er en betroet part. En angriber på netværket kan derfor uden brugernavn eller adgangskode ændre, hvilken backend ladestanderen taler med, aflæse fortrolige data eller stoppe opladningen helt.
Hvem rammer det?
Sårbarheden rammer organisationer, der driver elbil-ladestandere styret af CHARX OCPP Agent, herunder kommuner med ladeinfrastruktur til kommunale flåder, parkeringshuse, boligforeninger og virksomheder med ladepunkter til medarbejdere og gæster. NVD-data angiver ikke konkrete produktversioner, så I bør kontakte leverandøren for at få bekræftet, om jeres installation er berørt.
Hvad kan ske?
En angriber kan omdirigere ladestanderens backend-forbindelse til en server, angriberen selv kontrollerer, og derved overvåge eller manipulere opladningsdata. Ladestanderne kan sættes ud af drift, så medarbejdere eller borgere ikke kan lade deres bil. Fortrolige oplysninger, som konfigurationsdata eller adgangsoplysninger til backend, kan blive afsløret. For en kommune eller virksomhed betyder det driftsstop på ladeinfrastruktur og risiko for, at følsomme systemoplysninger kommer i forkerte hænder.
Hvor alvorligt er det?
CVSS-score er 9,8 af 10, hvilket er kritisk. Angrebet kræver ingen login (PR:N), ingen handling fra en bruger (UI:N) og kan udføres over netværket (AV:N) med lav kompleksitet. Konsekvensen er fuld påvirkning af fortrolighed, integritet og tilgængelighed. Der er ikke offentliggjort oplysninger om, at sårbarheden aktivt udnyttes, men den lave angrebskompleksitet gør den attraktiv for automatiseret scanning.
Hvad gør jeg nu?
Følgende trin bør gennemføres i denne rækkefølge:
- Isolér CHARX OCPP Agent-tjenesten fra åbne netværk og internettet, så kun betroede backend-systemer kan tilgå den, mens I afventer en officiel opdatering fra leverandøren.
- Kontakt leverandøren for at få bekræftet, om jeres version er berørt, og om der findes en sikkerhedsopdatering eller midlertidig løsning.
- Gennemgå logfiler for uventede ændringer i backend-konfigurationen eller ukendte forbindelser til ladestanderne.
- Skift adgangskoder og forbindelsesnøgler, der bruges mellem ladestandere og backend, hvis I ikke kan udelukke, at de har været eksponeret.
- Placér ladeinfrastrukturen på et separat netværkssegment, adskilt fra kontor- og driftsnetværk, som en generel forebyggende foranstaltning.
- Søg ekstern hjælp, hvis I ikke selv kan verificere netværksadgangen til ladestanderne, eller hvis I mangler ressourcer til at gennemføre segmenteringen.
Isolér tjenesten inden for 48 timer
Vi anbefaler, at I straks lukker ekstern netværksadgang til CHARX OCPP Agent og kontakter leverandøren for status på en opdatering, da sårbarheden kan udnyttes uden login. Det er kun forsvarligt at vente, hvis tjenesten allerede er isoleret på et internt netværk uden adgang fra internettet eller usikrede segmenter. Er ladeinfrastrukturen tilgængelig fra offentligt eller delvist åbent netværk, bør isolering ske uden ophold.
Tidslinje
Konkrete eksempler
Kommunal ladeinfrastruktur sættes ud af drift
En dansk kommune driver ladestandere til sin bilflåde via CHARX OCPP Agent, tilgængelig fra et delt driftsnetværk. En angriber finder tjenesten ved en almindelig netværksscanning, omkonfigurerer backend-forbindelsen og stopper opladningen af kommunens elbiler natten over. Kommunen opdager først problemet, da medarbejdere om morgenen finder biler uden strøm, og skal bruge tid på at genoprette den korrekte backend-forbindelse.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger CHARX OCPP Agent?
Kontakt jeres leverandør af ladestandere eller den, der har installeret og konfigureret ladeinfrastrukturen, og bed dem bekræfte, hvilken OCPP-agent og version der er i drift.
Kan vi vente til efter weekenden med at gøre noget?
Kun hvis tjenesten allerede er utilgængelig fra internettet og andre usikrede netværk. Er den tilgængelig, bør netværksadgangen begrænses straks, da angrebet ikke kræver login.
Er det nok at ændre adgangskoder?
Nej. Fejlen er, at tjenesten slet ikke kræver godkendelse, så en adgangskodeændring løser ikke problemet. Netværksisolering og en fremtidig opdatering fra leverandøren er nødvendig.
Kan sårbarheden ramme selve elbilerne?
Sårbarheden ligger i backend-forbindelsen for ladestanderen, ikke i bilen selv. Konsekvensen er driftsstop af opladning og risiko for dataafsløring, ikke direkte påvirkning af bilens systemer.
Skal vi anmelde noget til myndighederne?
Hvis I er dataansvarlige og fortrolige personoplysninger, som brugerdata til opladning, kan være blevet afsløret, bør I vurdere anmeldepligt efter databeskyttelsesreglerne. Er ladeinfrastrukturen del af kritisk infrastruktur, kan der også være sektorspecifik indberetningspligt.
Hvordan ved vi, om vi allerede er blevet angrebet?
Gennemgå logfiler for ændringer i backend-konfigurationen, uventede forbindelser eller afbrydelser i opladningen, som ikke stammer fra jeres egne systemer eller planlagte ændringer.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Due to missing authentication the CHARX OCPP Agent service allows an unauthenticated remote attacker to reconfigure the backend connection. This can lead to Denial-of-Service and confidential data being disclosed to the attacker.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.