Autel MaxiCharger のハードコードされた認証トークン（管理エンドポイントの認可を未認証で迂回）

Critical（CVSS 9.8）に分類されるAutel Autel MaxiCharger Single（充電器ファームウェア V1.03.51 以前。American Standard / European Standard の双方）の脆弱性です。Autel MaxiCharger Single のファームウェア V1.03.51 以前に、認可検査を迂回するハードコードされた認証トークンが埋め込まれている。NVD の記述は「An attacker can supply the special token value to invoke privileged functionality without valid authentication」で、この特別なトークンの値を送れば、有効な認証なしに複数の管理エンドポイントの特権機能を呼び出せる。CWE は CWE-798（ハードコードされた資格情報の使用）。CVSS は NVD（Primary）が CVSS 3.1 で 9.8 Critical、CNA である CyberDanube（office@cyberdanube.com）が CVSS 4.0 で 10.0 Critical を付けている。同じ調査から採番された CVE-2026-8984（TCP 9002 経由の未認証リモートコード実行）と併せると、この機器は「入口が複数開いている」状態である。両者の性質は異なり、8984 が任意コード実行そのものであるのに対し、本件は機器が備える管理機能を正規の手順を踏まずに呼べるという欠陥である。攻撃者にとっては、目立つコード実行を伴わずに機器の設定を変えられる経路であり、検知の観点では 8984 より厄介になりうる。ハードコードされた資格情報の性質上、設定変更や利用者側のパスワード変更では無効化できない。ファームウェアの更新以外に取り除く手段が無い。同一調査には他に CVE-2026-8985（/test エンドポイントの OS コマンドインジェクション）と CVE-2026-8986（OCPP GetDiagnostics 処理の OS コマンドインジェクション）があり、いずれも NVD Primary で 9.8 Critical である。KEV には収載されていない。

対応の骨格は CVE-2026-8984 と共通で、資産の所在確認、ネットワーク位置の確認、ファームウェア更新、隔離の4つになる。ここでは本件に固有の点を3つ挙げる。第一に、ハードコードされた資格情報は運用側の設定では消せない。管理画面のパスワードを強くしても、監視を強めても、トークンが埋め込まれている限り迂回経路は残る。したがって「強いパスワードを設定したので対処済み」という整理は成立しない。取りうるのはファームウェア更新か、その経路に到達させないことのどちらかだけである。第二に、検知が難しい。正規の管理機能を正規の手順に近い形で呼ばれるため、機器側のログには異常として現れにくい。異常があるとすれば、設定が身に覚えなく変わっていること、あるいは想定していない送信元から管理エンドポイントへのアクセスがあることである。前者は定期的な設定のスナップショットを取っていないと気づけないので、更新までの間は充電器の設定を書き出して保存しておくと差分で気づける。第三に、同一機器で CVE-2026-8984 / 8985 / 8986 も成立する点である。個別に対処するのではなく、V1.03.51 以前のファームウェアを載せた機器そのものを「未認証で任意の操作を許す機器」として扱うのが実態に合う。ネットワーク上の隔離を先に完了させ、そのうえで更新を待つのが現実的な順序である。完了条件は、（1）敷地内の全充電器のファームウェアが V1.03.51 より新しいこと、または専用セグメントに隔離されていること、（2）充電器のセグメントから業務ネットワークへ到達できないことをネットワーク側で確認済みであること、（3）更新前の期間について、充電器の設定が変更されていないことを確認済みであることの3点である。

Autel Autel MaxiCharger Single（充電器ファームウェア V1.03.51 以前。American Standard / European Standard の双方） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-8983）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。