Etrel INCH AC 充電器の管理画面に固定の初期アカウント（CVE-2026-112354）: CVSS 9.3、ファームウェア 7.1.2・8.0.1 より前で認証なしに管理者権限

電気自動車（EV）用の AC 充電器「Etrel INCH」の管理用 Web 画面に、工場出荷時の固定アカウント（ハードコードされた初期資格情報）が残っている欠陥（CVE-2026-112354）が、2026-11-03 に NVD に登録されました。ファームウェア 7.1.2 および 8.0.1 より前が対象です。種類は、ハードコードされた資格情報の使用（CWE-1392）です。

何が起きるか

NVD の説明によると、仕組みは次のとおりです。

• 管理用 Web 画面に、工場出荷時の既定アカウントが固定で用意されている。
• ネットワーク越しの攻撃者が、このアカウントでログインすると、管理者の全権限を得られる。
• ログインは暗号化されない HTTP でも行える。
• 得られる情報は、充電器の全設定、OCPP（充電器と管理システムの通信規格）の ChargePoint Identity、管理システム（CSMS）への WebSocket 接続情報。充電ステーションを不正に管理できるとされています。

数値と severity

• CVSS v4.0 は 9.3（CRITICAL）。ベクターは AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H で、ネットワークから認証・利用者の操作なしに影響が高いことを示します。評価元は VulnCheck で、NVD 上は Secondary です。
• NVD の状態は Received（2026-11-04 時点）で、NVD 自身の評価はまだありません。
• 認証が不要で CVSS が 9 以上のため、severity は critical とします。
• FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません（2026-11-04 時点）。

対策

• ファームウェアを 7.1.2 以降（8.0 系は 8.0.1 以降）に更新する。ベンダーの案内ページは本稿では開いておらず、更新手順は確認できていません。
• 管理用 Web 画面をインターネットや共有ネットワークに直接公開しない。接続元を管理用の閉じたネットワークに限る。
• 既定アカウントのパスワードが変更できるか、無効にできるかをベンダーの案内で確認する。
• 管理画面への見覚えのないログインや、OCPP の接続先設定の変更がないかを確認する。

未確認の点

• 実際に悪用されているか、規模はどの程度か。
• 既定アカウントの名称、パスワードの変更で回避できるか。
• 修正版で固定アカウントが完全に除かれているか。
• 影響を受ける型番や出荷時期の範囲。
• NVD の最終評価、EPSS、公開された悪用コードの有無。

出典

• NVD: CVE-2026-112354
• Etrel INCH Firmware（NVD の参照先。未開封）
• VulnCheck 勧告（NVD の参照先。未開封）