--- title: "Etrel INCH AC 充電器の管理画面に固定の初期アカウント（CVE-2026-112354）: CVSS 9.3、ファームウェア 7.1.2・8.0.1 より前で認証なしに管理者権限" url: https://n-t-p.io/worldsecurity/articles/etrel-inch-ac-cve-2026-112354-hardcoded-default-credentials lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 緊急 cve: CVE-2026-112354 --- # Etrel INCH AC 充電器の管理画面に固定の初期アカウント（CVE-2026-112354）: CVSS 9.3、ファームウェア 7.1.2・8.0.1 より前で認証なしに管理者権限 > **TL;DR:** EV 用 AC 充電器 Etrel INCH のファームウェア 7.1.2・8.0.1 より前で、管理用 Web 画面の固定の初期アカウントにより、認証なしで管理者権限を得られる欠陥（CVE-2026-112354、CVSS v4.0 9.3）。認証不要で 9 以上のため critical。KEV 未掲載、EPSS はデータなし。悪用の有無・修正の完全性は未確認。 **要点** - 管理用 Web 画面に工場出荷時の固定アカウントがあり、ネットワーク越しの攻撃者が管理者権限を得られる（CVE-2026-112354）。CVSS v4.0 は 9.3（PR:N、評価元 VulnCheck）。 - HTTP（平文）でログインでき、充電器の全設定、OCPP の ChargePoint Identity、CSMS への接続情報が得られるとされる。 - 対象はファームウェア 7.1.2・8.0.1 より前。更新手順は未確認。 - EPSS はデータなし、KEV には載っていない（2026-11-04 時点）。 - 悪用の有無・規模、修正の完全性、NVD の最終評価は未確認。 電気自動車（EV）用の AC 充電器「Etrel INCH」の管理用 Web 画面に、工場出荷時の固定アカウント（ハードコードされた初期資格情報）が残っている欠陥（CVE-2026-112354）が、2026-11-03 に NVD に登録されました。ファームウェア 7.1.2 および 8.0.1 より前が対象です。種類は、ハードコードされた資格情報の使用（CWE-1392）です。 ## 何が起きるか NVD の説明によると、仕組みは次のとおりです。 - 管理用 Web 画面に、工場出荷時の既定アカウントが固定で用意されている。 - ネットワーク越しの攻撃者が、このアカウントでログインすると、管理者の全権限を得られる。 - ログインは暗号化されない HTTP でも行える。 - 得られる情報は、充電器の全設定、OCPP（充電器と管理システムの通信規格）の ChargePoint Identity、管理システム（CSMS）への WebSocket 接続情報。充電ステーションを不正に管理できるとされています。 ## 数値と severity - CVSS v4.0 は 9.3（CRITICAL）。ベクターは AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H で、ネットワークから認証・利用者の操作なしに影響が高いことを示します。評価元は VulnCheck で、NVD 上は Secondary です。 - NVD の状態は Received（2026-11-04 時点）で、NVD 自身の評価はまだありません。 - 認証が不要で CVSS が 9 以上のため、severity は critical とします。 - FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません（2026-11-04 時点）。 ## 対策 - ファームウェアを 7.1.2 以降（8.0 系は 8.0.1 以降）に更新する。ベンダーの案内ページは本稿では開いておらず、更新手順は確認できていません。 - 管理用 Web 画面をインターネットや共有ネットワークに直接公開しない。接続元を管理用の閉じたネットワークに限る。 - 既定アカウントのパスワードが変更できるか、無効にできるかをベンダーの案内で確認する。 - 管理画面への見覚えのないログインや、OCPP の接続先設定の変更がないかを確認する。 ## 未確認の点 - 実際に悪用されているか、規模はどの程度か。 - 既定アカウントの名称、パスワードの変更で回避できるか。 - 修正版で固定アカウントが完全に除かれているか。 - 影響を受ける型番や出荷時期の範囲。 - NVD の最終評価、EPSS、公開された悪用コードの有無。 ## 出典 - NVD: CVE-2026-112354 - Etrel INCH Firmware（NVD の参照先。未開封） - VulnCheck 勧告（NVD の参照先。未開封） ## 出典 - [NVD CVE-2026-112354](https://nvd.nist.gov/vuln/detail/CVE-2026-112354) — NIST NVD - [Etrel INCH Firmware（NVD の参照先。未開封）](https://etrel.atlassian.net/wiki/spaces/EKC/pages/5064097853/Etrel+INCH+Firmware) — Etrel - [VulnCheck 勧告（NVD の参照先。未開封）](https://www.vulncheck.com/advisories/etrel-inch-ac-charging-station-hard-coded-default-credentials) — VulnCheck - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-112354) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/etrel-inch-ac-cve-2026-112354-hardcoded-default-credentials