Критическая уязвимость обхода аутентификации в Sungrow iSolarCloud (CVE-2026-107194)
Исследователи безопасности сообщили о критической уязвимости в облачной платформе Sungrow iSolarCloud, предназначенной для мониторинга и управления фотоэлектрическими системами. Проблема получила идентификатор CVE-2026-107194 и оценку CVSS 9.2, что соответствует наивысшему уровню критичности.
Подробности
Уязвимость затрагивает версии Sungrow iSolarCloud, выпущенные до 2026-08-25. Её суть — обход аутентификации (authentication bypass) и последующий захват учётной записи (account takeover). Атакующий может инициировать вход в систему, указав в запросе на аутентификацию параметр "login_type":"5", что позволяет обойти штатный механизм проверки подлинности.
Для эксплуатации требуется адрес электронной почты, связанный со свойством user_account. При этом, согласно описанию, пользователь может просматривать email-адрес, привязанный к его родительской организации, — это снижает барьер для потенциального злоумышленника.
Особую опасность представляет вектор воздействия: iSolarCloud используется для управления промышленными солнечными инверторами Sungrow. По данным описания уязвимости, успешная эксплуатация потенциально способна привести к «локальным отключениям электроэнергии на всём континенте» в Европе. Это переводит проблему из плоскости утечки данных в область рисков для критической энергетической инфраструктуры.
Что делать
Основная рекомендация — обновить Sungrow iSolarCloud до версии 2026-08-25 или более поздней, в которой устранена уязвимость. До установки обновления целесообразно применить компенсирующие меры:
- ограничить доступ к интерфейсам аутентификации iSolarCloud по сетевому периметру (whitelisting IP, VPN);
- включить многофакторную аутентификацию для всех учётных записей, имеющих доступ к платформе;
- провести аудит журналов входа на предмет подозрительных запросов с параметром
login_typeсо значением 5; - пересмотреть роли и права пользователей, уделив внимание доступам к данным родительских организаций;
- обеспечить мониторинг аномальной активности в аккаунтах и сегментировать управляющие сети от корпоративных.
Организациям, эксплуатирующим инверторы Sungrow, рекомендуется связаться с вендором для получения официальных инструкций и подтверждения статуса исправления.
Уязвимость CVE-2026-107194 демонстрирует, насколько серьёзными могут быть последствия дефектов аутентификации в платформах управления энергетическим оборудованием: одна ошибка в обработке параметра запроса способна поставить под угрозу не только данные отдельных пользователей, но и стабильность энергоснабжения целых регионов. Своевременное обновление и многоуровневая защита учётных записей остаются ключевыми мерами снижения риска.
Источник: CVE Project (cvelistV5)