Delta UFC500 兩項漏洞：預設憑證及管理介面認證不足

CVE-2026-22105 · CVE-2026-22110

主要來源公告：2026-10-30

本站刊登：2026-10-30 · 內容更新：2026-10-30（香港日期）

情報摘要

DIVD 公布 Delta UFC500 的 CVE-2026-22105 及 CVE-2026-22110，涉及可推算的預設 Service 帳戶密碼，以及部分管理請求缺乏認證。兩者的 CVSS 4.0 評分均為 8.7，攻擊向量為相鄰網絡。

CVE-2026-22105 的預設密碼可由設備識別資料推算，可能讓未認證的相鄰網絡攻擊者存取敏感設定。CVE-2026-22110 涉及管理網頁伺服器對 POST／PUT 請求缺乏認證，可導致重啟，並在額外條件下改動憑證或設定。

2.4.18 與 4.4.1 分別屬於不同套件，並非可任選其一的同一韌體版本。CNA 對預設憑證問題明確建議更改 Service 密碼。

Delta UFC500；msi-image 早於 2.4.18、ECP 早於 4.4.1

使用 Delta UFC500 的電動車充電設施營運商、維護及網絡團隊

向供應商核對設備的 msi-image 及 ECP 套件版本，升級至相應修補版本或更新的受支援版本；CNA 列出的分界分別為 2.4.18 及 4.4.1。另須為 Service 帳戶設定非預設密碼。將管理介面限制於受控維護網絡，避免不必要的相鄰網絡存取。

DIVD CNA 對兩項漏洞均評為 CVSS 4.0 8.7 分（High），向量為 AV:A；不應解讀為已證實可由任意互聯網位置攻擊。

本報只涵蓋上述兩項已核對的 CNA 記錄，不代表已核對 DIVD 整個調查的所有漏洞。

所核對資料未證實在野外利用、香港部署或香港受害情況。