情報取得日: 2026/08/19／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-8984 |
|---|---|
| 製品 | Autel / Autel MaxiCharger Single（充電器ファームウェア V1.03.51 以前。American Standard / European Standard の双方） |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-94 コード生成の不適切な制御（コードインジェクション） |
| 登録／公開日 | 2026/08/19 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-8984 |
Autel MaxiCharger Single の EV 充電器で、TCP 9002 番ポートで待ち受けているサービスを通じて未認証のリモートコード実行が成立する。NVD の記述は「A crafted request to the /test endpoint can cause the device to download, extract, and execute attacker-controlled files with root privileges」で、細工したリクエストを /test エンドポイントへ送ると、機器が攻撃者の用意したファイルをダウンロード・展開・実行する。実行権限は root である。対象は V1.03.51 までのファームウェアで、NVD の CPE には American Standard と European Standard の両方が含まれる。CVSS は NVD（Primary）が CVSS 3.1 で 9.8 Critical、CNA である CyberDanube（office@cyberdanube.com）が CVSS 4.0 で 10.0 Critical（AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）を付けている。CVSS 4.0 で 10.0 は上限値で、機密性・完全性・可用性のすべてが後続システムまで含めて High と評価されたということである。参考文献の CyberDanube のレポートには Exploit タグが付いており、検証情報が公開されている。なお同じ調査から Autel MaxiCharger に対して複数の CVE が採番されており、本件（TCP 9002 経由の RCE）のほかに /test エンドポイントの OS コマンドインジェクション（CVE-2026-8985）、OCPP GetDiagnostics 処理の OS コマンドインジェクション（CVE-2026-8986）、管理エンドポイントの認可を迂回するハードコードされた認証トークン（CVE-2026-8983）がある。いずれも同一ファームウェアの同一調査に由来する。KEV には収載されていない。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 対象外 |
対象外（クラウド側に修正対象は無い。組込み機器のファームウェアの欠陥）
充電器の管理サーバをクラウド上に持っている場合、影響を受けるのは機器側であってサーバ側ではない。ただし機器が侵害されると、機器からサーバへの正当な接続を悪用される可能性がある。
参照リンク
|
| GCP / Azure | 対象外 |
対象外（クラウド側に修正対象は無い）
同上。機器側の更新と隔離が対応となる。
参照リンク
|
| Linux | 対象外 |
対象外（機器の組込み Linux はメーカーが配布するファームウェアで更新され、ディストリのセキュリティ更新では上がらない）
Linux 側で行えるのはネットワーク側の遮断である。充電器のセグメントから業務セグメントへの通信を既定拒否にし、必要な宛先だけを明示的に許可する。
参照リンク
|
この欠陥の実務上の難しさは、技術的な内容ではなく資産管理の側にある。EV 充電器は多くの組織で「設備」として導入され、IT の資産台帳に載っていない。駐車場に設置されて、電気工事の一環でネットワークに繋がれ、以後は誰も更新を見ていない、という状態が典型である。したがって最初にやることは、脆弱性の確認ではなく所在の確認になる。設備管理・総務・施設の側に問い合わせて、敷地内の充電器の型番と設置時期を出してもらう。次にネットワーク上の位置を確認する。この欠陥は TCP 9002 で待ち受けるサービスに未認証で到達できることが前提なので、充電器がどのセグメントにいるかがそのままリスクの大きさになる。業務ネットワークと同じセグメントに置かれているなら、充電器を踏み台にして社内へ入られる経路が開いている。逆に、専用セグメントに隔離してインターネットからも社内からも到達できないなら、当面の危険度は大きく下がる。確認は、社内から充電器の IP に対して 9002 番へ到達できるかを実際に見るのが早い。ファームウェアのバージョンは V1.03.51 より新しいことを確認する。更新の手段はメーカーの提供する経路に限られ、利用者側で任意のバイナリを入れ替えることはできない。更新版が提供されていない場合、取りうる対応はネットワーク隔離だけになる。この種の機器では「更新が出るまで隔離」が長期化しやすいので、隔離を恒久構成として設計しておくほうが現実的である。侵害の点検は難しい。組込み機器はログの保存量が少なく、root を取られた場合に痕跡を消される可能性も高い。したがって外側から見るのが基本になる。充電器の IP から発生した想定外の通信（社内サーバへの接続試行、外部への持続的な接続）をネットワーク側のログで確認する。機器そのものの調査はメーカーに依頼する。完了条件は、（1）敷地内の全充電器の型番とファームウェアを把握していること、（2）V1.03.51 以前のものが専用セグメントに隔離されているか更新済みであること、（3）充電器のセグメントから業務ネットワークへ到達できないことをネットワーク側で確認済みであることの3点である。
Critical（CVSS 9.8）に分類されるAutel Autel MaxiCharger Single（充電器ファームウェア V1.03.51 以前。American Standard / European Standard の双方）の脆弱性です。Autel MaxiCharger Single の EV 充電器で、TCP 9002 番ポートで待ち受けているサービスを通じて未認証のリモートコード実行が成立する。NVD の記述は「A crafted request to the /test endpoint can cause the device to download, extract, and execute attacker-controlled files with root privileges」で、細工したリクエストを /test エンドポイントへ送ると、機器が攻撃者の用意したファイルをダウンロード・展開・実行する。実行権限は root である。対象は V1.03.51 までのファームウェアで、NVD の CPE には American Standard と European Standard の両方が含まれる。CVSS は NVD（Primary）が CVSS 3.1 で 9.8 Critical、CNA である CyberDanube（office@cyberdanube.com）が CVSS 4.0 で 10.0 Critical（AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）を付けている。CVSS 4.0 で 10.0 は上限値で、機密性・完全性・可用性のすべてが後続システムまで含めて High と評価されたということである。参考文献の CyberDanube のレポートには Exploit タグが付いており、検証情報が公開されている。なお同じ調査から Autel MaxiCharger に対して複数の CVE が採番されており、本件（TCP 9002 経由の RCE）のほかに /test エンドポイントの OS コマンドインジェクション（CVE-2026-8985）、OCPP GetDiagnostics 処理の OS コマンドインジェクション（CVE-2026-8986）、管理エンドポイントの認可を迂回するハードコードされた認証トークン（CVE-2026-8983）がある。いずれも同一ファームウェアの同一調査に由来する。KEV には収載されていない。
この欠陥の実務上の難しさは、技術的な内容ではなく資産管理の側にある。EV 充電器は多くの組織で「設備」として導入され、IT の資産台帳に載っていない。駐車場に設置されて、電気工事の一環でネットワークに繋がれ、以後は誰も更新を見ていない、という状態が典型である。したがって最初にやることは、脆弱性の確認ではなく所在の確認になる。設備管理・総務・施設の側に問い合わせて、敷地内の充電器の型番と設置時期を出してもらう。次にネットワーク上の位置を確認する。この欠陥は TCP 9002 で待ち受けるサービスに未認証で到達できることが前提なので、充電器がどのセグメントにいるかがそのままリスクの大きさになる。業務ネットワークと同じセグメントに置かれているなら、充電器を踏み台にして社内へ入られる経路が開いている。逆に、専用セグメントに隔離してインターネットからも社内からも到達できないなら、当面の危険度は大きく下がる。確認は、社内から充電器の IP に対して 9002 番へ到達できるかを実際に見るのが早い。ファームウェアのバージョンは V1.03.51 より新しいことを確認する。更新の手段はメーカーの提供する経路に限られ、利用者側で任意のバイナリを入れ替えることはできない。更新版が提供されていない場合、取りうる対応はネットワーク隔離だけになる。この種の機器では「更新が出るまで隔離」が長期化しやすいので、隔離を恒久構成として設計しておくほうが現実的である。侵害の点検は難しい。組込み機器はログの保存量が少なく、root を取られた場合に痕跡を消される可能性も高い。したがって外側から見るのが基本になる。充電器の IP から発生した想定外の通信（社内サーバへの接続試行、外部への持続的な接続）をネットワーク側のログで確認する。機器そのものの調査はメーカーに依頼する。完了条件は、（1）敷地内の全充電器の型番とファームウェアを把握していること、（2）V1.03.51 以前のものが専用セグメントに隔離されているか更新済みであること、（3）充電器のセグメントから業務ネットワークへ到達できないことをネットワーク側で確認済みであることの3点である。
Autel Autel MaxiCharger Single（充電器ファームウェア V1.03.51 以前。American Standard / European Standard の双方） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-8984）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。