AutelのEV充電器に脆弱性8件 認証不要RCEも

結論から言います。EV充電器「Autel MaxiCharger Single」のファームウェア V1.03.51 以前に、認証不要のリモートコード実行（RCE）を含む8件の脆弱性が公表されました。最も深刻なものは CVSS v4.0 で 10.0（最大値）です。自社の駐車場や事業所にEV充電器がある場合、それが「社内ネットワークに常時つながったコンピュータ」であることを、まず思い出してください。

そして本記事の主眼は、Autel製品を使っているかどうかではありません。情シスの資産台帳に載っていないネットワーク機器が、どういう経路で増えていくのか——そこが今回の本当の論点です。

この記事でわかること

• Autel MaxiCharger とは何で、どこに設置され、何につながっているのか
• 公表された8件の脆弱性の中身と深刻度（CVE番号つき）
• 自社機器が該当するかを判定する具体的な手がかり（ポート番号・バージョン）
• 「充電器はうちの管轄じゃない」で済ませられなくなる理由

Autel MaxiCharger とは何者か

Autel MaxiCharger とは、EV（電気自動車）に給電するための充電器製品シリーズです。家庭用のウォールボックス型から、商業施設・法人向けの AC 充電器、大出力の DC 急速充電器までが同じブランド名で展開されています。今回問題になった「MaxiCharger Single」は、1口タイプの機種です。

情シスの視点で重要なのは、この機器が「電気設備」の顔をした通信機器だという点です。Autel の法人向け充電器は、クラウド（Autel Charge Cloud）やスマートフォンアプリからの遠隔管理・遠隔更新・障害通知に対応しています。つまり充電器側には、

• Webの管理インターフェース（HTTPS / 443番ポート）
• 独自サービスの待ち受けポート（9002/TCP）
• 充電器と管理サーバをつなぐ標準プロトコル OCPP（Open Charge Point Protocol）のクライアント機能

が動いています。据え付け工事で設置され、施設管理や総務の管轄で発注されることが多い機器ですが、実体はネットワークに常時接続された小さなLinux機です。ここを押さえないと、以下の話は「よその業界のニュース」に見えてしまいます。

なお、Autel は横浜に日本法人を置いていますが、日本国内でのEV充電器（Autel Energy 製品）の販売・導入の実態については公開情報が限られています。ここは断定を避け、「自社に該当機があるか」を機器のラベルと管理画面で確認する、という進め方をおすすめします。

何が起きたのか

脆弱性を発見・報告したのは、オーストリアのセキュリティ企業 CyberDanube です。同社は2026年3月11日にベンダーへ報告し、5月7日に修正ファームウェアを受け取ったうえで、6月9日に調査結果を公開しました。NVD への登録は7月21日、日本語の JVNDB に載ったのは8月13日です。

公表された脆弱性は次の8件です。

影響を受けるのは Autel MaxiCharger Single ファームウェア V1.03.51 およびそれ以前で、米国仕様・欧州仕様の双方が対象とされています。

どれがいちばん危ないのか

CVE-2026-8984 です。認証なしでネットワーク越しにコードを実行できるため、CyberDanube 評価の CVSS v4.0 で 10.0（クリティカル）、NIST 評価の CVSS v3.1 でも 9.8 が付いています。攻撃者がこの機器に到達できる位置にいるなら、それだけで機器を奪える、という意味です。

次いで重いのが CVE-2026-8983 と CVE-2026-8982 です。前者は特定の固定文字列をトークンとして送るだけで管理エンドポイントの認可チェックを回避できるもので、研究者はその値（Nut666）まで公開しています。後者は、製品ドキュメントに記載のない特権アカウントが2つ存在し、機器固有の値からベンダー独自のアルゴリズムでパスワードが導出される、というものです。アルゴリズムと入力値を知る者は管理者として管理画面にログインできます。CVSS v3 はそれぞれ 9.8 と 8.1 です。

「パスワードを強くする」「初期パスワードを変える」といった運用側の対策では、この2件は塞げません。設計そのものに認証の抜け道が用意されているタイプの問題だからです。

OCPP 経由という、見落としやすい経路

CVE-2026-8986 は少し毛色が違います。悪意ある OCPP サーバが GetDiagnostics() リクエストに細工したURLパラメータを載せて送ると、充電器側でそれが検証されないままシステムコマンドとして実行される、というものです。

つまり充電器を直接叩けなくても、充電器がつなぎに行く管理サーバ側を押さえれば刺さる。充電器をインターネットから隔離しても、クラウド管理サービスとの通信は残ります。ネットワーク分離だけで安心しきれない経路がある、という点は覚えておく価値があります。

自社が該当するかを、どう判定するか

今回、修正版の具体的なファームウェアバージョン番号は公表されていません。研究者の記載も「最新版へ更新し、必要ならハードウェアを更新すること」という表現にとどまります。したがって「V1.06 以上ならOK」といった単純な判定はできず、機器の把握から始める必要があります。

1. そもそも自社にEV充電器があるかを確認する。総務・施設管理・工場設備の部門に「敷地内の充電器の型番と設置年」を照会します。情シスの台帳には載っていない可能性が高い項目です。
2. ネットワーク接続の有無と接続先を確認する。社内LANか、専用回線か、モバイル回線か。設置業者が何につないだかは、施工図面や引き渡し書類に残っていることがあります。
3. ポートを確認する。該当機であれば 443/TCP（Web管理画面）と 9002/TCP が待ち受けている可能性があります。社内からのポートスキャンで 9002 が開いている機器が見つかったら、それが何かを必ず突き止めてください。
4. ファームウェアのバージョンを管理画面またはアプリで確認する。V1.03.51 以前なら影響下です。ベンダーまたは設置業者に更新の可否を問い合わせます。
5. 物理的な取り扱いを見直す。CVE-2026-8988 / 8989 は筐体を開けて基板のピンヘッダに触れる攻撃です。屋外・一般来訪者が近づける場所にある機器は、施錠と設置状況の点検対象に加えます。

現場目線の課題：台帳に載らない機器は、なぜ増えるのか

正直なところ、この手のニュースを見て真っ先に思うのは「うちの敷地にある充電器、誰が管理してるんだっけ」です。EV充電器は多くの場合、情シスの起案ではありません。EV社用車の導入や福利厚生の一環として総務が決め、電気工事業者が設置し、動作確認して引き渡して終わります。そのときネットワークをどこにつないだかは、情シスに共有されないことが少なくありません。

同じ構図は充電器に限りません。複合機、入退室管理システム、デジタルサイネージ、監視カメラ、会議室予約パネル、空調のコントローラ。「設備」として発注され「通信機器」として動き続けるものは、資産管理ツールのエージェントも入らず、脆弱性スキャンの対象範囲からも漏れがちです。境界機器が乗っ取られて攻撃の中継拠点にされるORB（Operational Relay Box）化の脅威を考えると、社内に一台だけ存在する管理外のLinux機というのは、決して小さな話ではありません。

そしてもう一点、時間の問題があります。今回の脆弱性は研究者による公開が2026年6月9日、NVD 登録が7月21日、日本語で読める JVNDB への掲載が8月13日でした。海外の研究公開から国内向け情報が出るまで約2か月あります。この種のニッチな機器は日本語ソースだけを追っていると気づくのが遅れる、という現実は認識しておいた方がよさそうです。

情シスはどうすべきか

個別の充電器対応より先に、「設備系のネットワーク機器を洗い出す」棚卸しの仕組みを作ることを優先することをおすすめします。1台ずつ潰しても、来年また別の機器が同じ経路で増えるからです。

具体的な進め方は、公的機関の指針が整理してくれています。まずはこちらを参照してください。

• IPA「IoTのセキュリティ」 … IoT機器のセキュリティ設計・運用に関する資料がまとまっています。設備系機器を調達する際、仕様書に何を書かせるかの参考になります。
• IPA「中小企業の情報セキュリティ対策ガイドライン」 … 資産の把握と管理の基本形が示されています。台帳の粒度に迷ったらここから。
• IPA「セキュリティインシデント対応 机上演習教材」 … 「管理外の機器が侵害されていた」というシナリオは、演習の題材として現実味があります。

あわせて、地道ではありますが他部門への啓発が効きます。「ネットワークにつながる物を買うときは、事前に情シスに一声かけてほしい」という一文を調達フローに入れておくだけで、翌年以降の棚卸しコストが大きく変わります。技術的な対策より、この手の申し合わせの方が長持ちすることは珍しくありません。同じ「見えない資産」の問題は、クラウド側の権限設定でも起きますし、NASのような身近な機器でも同様です。

まとめ

1. Autel MaxiCharger Single のファームウェア V1.03.51 以前に脆弱性8件。最大は認証不要のRCE（CVE-2026-8984、CVSS v4.0 で 10.0）。修正版の具体的なバージョン番号は公表されておらず、ベンダー・設置業者への確認が必要です。
2. バックドア相当の特権アカウントと固定トークンが含まれ、運用側のパスワード管理では防げない。該当機は 443/TCP と 9002/TCP の待ち受け、およびファームウェアバージョンで判定します。
3. 本質的な論点は「設備として買われ、通信機器として動き続ける資産」の管理。充電器・複合機・カメラ・サイネージなど、台帳に載らない機器の棚卸しから着手してください。

出典

• CyberDanube「Multiple vulnerabilities in Autel Maxi Charger」（発見者による技術詳細・タイムライン）
• NVD – CVE-2026-8984
• JVNDB-2026-028169（CVE-2026-8983 / ハードコードされた認証トークン）
• JVNDB-2026-028170（CVE-2026-8982 / ハードコードされた認証情報）
• IPA「IoTのセキュリティ」