🟠 《高危安全漏洞：CVE-2026-44107》

CVSS 评分: 高危（8.7）　　状态: Received　　发布时间: 2026-07-30

漏洞简介

CVE-2026-44107 是一个存在于充电控制器（charging controller）中的安全漏洞，涉及 Modbus TCP 协议的处理。该漏洞属于 CWE-749 分类，即“暴露的危险方法或函数（Exposed Dangerous Method or Function）”。具体而言，当充电控制器启用 Modbus 功能并开放 CharxModbusServer 所监听的端口时，未经身份验证的攻击者可以通过 Modbus TCP 协议直接触发充电控制器的重启操作。由于该操作无需任何认证机制，攻击者能够远程发起拒绝服务（Denial-of-Service, DoS）攻击，导致设备暂时不可用。

影响范围

根据参考链接（VDE-2026-008）中的信息，该漏洞影响启用了 Modbus TCP 功能的充电控制器设备。具体受影响的软件/版本信息需参考厂商公告，但已知的关键条件是：

  • Modbus 功能已启用：即开放了 CharxModbusServer 所监听的 TCP 端口。
  • 无身份验证要求：攻击者无需任何凭据即可发送恶意请求。

风险分析

  • 攻击向量：远程网络攻击（AV:N），攻击复杂度低（AC:L），无需攻击者具备任何权限（PR:N）或用户交互（UI:N）。
  • 攻击后果：攻击者可通过发送特制的 Modbus TCP 数据包，强制充电控制器重启，导致设备服务中断。这属于典型的拒绝服务（Denial-of-Service, DoS）攻击，影响设备的可用性（VA:H），但不会直接导致机密性或完整性受损（VC:N, VI:N, SC:N, SI:N）。
  • 潜在影响：在充电基础设施中，此类漏洞可能导致充电桩或控制器无法正常工作，影响电动汽车充电服务的连续性，甚至可能引发连锁故障或运营中断。由于攻击无需认证且可远程执行，攻击者可以批量扫描并攻击暴露在公网或内部网络中的设备，造成大范围服务瘫痪。
  • CVSS 评分：根据 CVSS:4.0 向量，该漏洞的基础评分为 7.1（高危），主要威胁为可用性影响。

🔍 技术细节

字段 值
CVE ID CVE-2026-44107
CVSS 评分 8.7 🟠
严重程度 高危
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-749
发布时间 2026-07-30
最后更新 2026-07-30
状态 Received
数据来源 info@cert.vde.com

🔗 参考链接