Sungrow iSolarCloud: Authentifizierungsumgehung im Login-Prozess ermöglicht Kontoübernahme

Zusammenfassung

Sungrow iSolarCloud, eine Cloud-Plattform zur Verwaltung von Solar- und Batteriespeicheranlagen, enthält eine Authentifizierungsumgehung im Login-Prozess (CWE-288). Eine speziell präparierte Login-Anfrage ohne gültiges Passwort kann eine Anmeldung als betroffener Benutzer ermöglichen, was zur vollständigen Kontrolle über Anlagen, Wechselrichter und Batteriespeicher sowie zum Zugriff auf verknüpfte Benutzer- und Organisationsdaten führen kann. Laut den Forschenden sind keine gültigen Zugangsdaten nötig und der Angriff ist remote über das Netzwerk möglich. Sungrow meldet, das Problem am 25. August 2026 zentral auf den eigenen Servern behoben zu haben.

Betroffen

• Sungrow iSolarCloud (Cloud-Plattform, laut Forschenden alle Regionen)
• CVE-Eintrag: Versionen vor 2026-08-25
• MITRE-Eintrag: als betroffen unterhalb von 2026 aufgeführt
• Genaue Versionsbezeichnungen: Unbekannt.

Behoben in

• Serverseitige Behebung durch Sungrow am 25. August 2026 (kein Firmware- oder App-Update gemeldet)
• Sungrow-Advisory SGSA-202608-0028 (Status: mitigiert); vollständiger Text in diesem Eintrag nicht überprüft.

Umgehung

• Kein Workaround des Herstellers veröffentlicht. Der Hersteller meldet, die Plattform sei gepatcht.

Ausnutzung

• Sungrow meldet keine Hinweise auf eine Ausnutzung vor der Behebung; diese Aussagen sind nicht unabhängig überprüft.
• Nicht im Katalog CISA KEV aufgeführt.
• EPSS-Wert: 0.00342.
• Kein öffentlicher Proof-of-Concept oder Exploit-Code für diese CVE gefunden.

Unsere Empfehlung

• Login- und Kontoaktivitätsprotokolle von iSolarCloud für den Zeitraum vor dem 25. August 2026 prüfen.
• Passwörter aller iSolarCloud-Konten zurücksetzen und, sofern die Plattform es anbietet, Multi-Faktor-Authentifizierung aktivieren.
• Prüfen, welche Konten Administrator- oder Installateurrollen besitzen, und nicht benötigte Rollen entfernen.
• Den Patch-Status vor einem internen Abschluss des Themas mit dem Advisory von Sungrow abgleichen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Jakkaru: Sungrow vulnerability write-up jakkaru.de
• Sungrow: Login bypass vulnerability advisory www.sungrowpower.com
• Sungrow: Security incident response www.sungrowpower.com
• Sungrow: iSolarCloud product page www.sungrowpower.com
• pv magazine: Sungrow patches iSolarCloud vulnerability www.pv-magazine.com
• PV Tech: Sungrow patches cloud vulnerability www.pv-tech.org
• OpenCVE: CVE-2026-107194 app.opencve.io
• Vulners: VULNRICHMENT CVE-2026-107194 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:50.