来源 :FreeBuf2026-10-08
阳光电源逆变器存在一处严重漏洞，攻击者无需有效密码就可以登录该公司iSolarCloud管理平台。
该漏洞影响的云服务主要用于管理光伏电站、逆变器和储能系统，对欧洲、中国、澳大利亚及其他地区的用户和能源运营商构成严重风险。登录流程存逻辑缺陷，已知邮箱可绕过密码验证
Jakkaru发布的研究显示，该漏洞源于iSolarCloud登录流程中的一处业务逻辑错误。研究人员表示，阳光电源接报后1天内就修复了该问题，并启动深度排查，寻找问题根因及相关薄弱点。
阳光电源是全球最大的光伏逆变器制造商之一。该公司称，截至2025年6月，其在全球部署的电力电子转换设备总容量已超过870吉瓦，Jakkaru后续估算这一数字已突破1000吉瓦。阳光电源在欧洲市场占有率极高，这意味着本次云安全问题的影响范围远不止单个家庭或企业的光伏站点。
受影响的iSolarCloud平台可供用户和管理员远程访问光伏资产。Jakkaru发现，该服务采用了加密REST API请求、请求签名及自定义请求头等防护机制，提升了测试难度，但并未修复底层的登录逻辑问题。
测试过程中，研究团队排查了名为login_type的登录字段，发现传入某一特定值后，iSolarCloud会直接验证请求中填写的账号，完全忽略密码字段的内容。
实际攻击场景中，攻击者只要掌握目标用户的有效邮箱地址，无需知道密码就能访问对应账号。研究人员指出，利用该方式登录时，平台不会发送邮件或其他登录提醒。
这一特性大幅提升了漏洞风险。未授权用户登录后可长期不被发现，还能利用账号找回功能长期控制账号。Jakkaru表示，普通用户账号和管理员账号处于同一管理环境中，进一步加大了权限提升风险。管理员账号若被入侵，可引发大面积供电安全风险
如果管理员账号被入侵，攻击者就能控制受影响区域云系统接入的所有光伏电站，权限范围极大。Jakkaru指出，攻击者可查看和修改电站配置，启停逆变器及储能系统。
他们还能访问平台内注册的组织和用户信息，甚至在云连接设备上安装自定义固件。
该漏洞的风险不止于数据窃取。恶意固件更新可篡改设备运行逻辑，若攻击者对大量联网系统同步执行停机或参数修改操作，还会同时削减光伏发电量。随着逆变器成为国家能源系统的重要组成部分，这类风险正引发越来越多的关注。
Cyber Security News此前也曾报道过光伏逆变器领域的普遍安全问题。另一项研究在主流逆变器厂商的产品中发现了46个漏洞，其中部分漏洞可允许攻击者远程控制发电设备。
该研究显示，阳光电源的系统此前就存在通信适配器、不安全直接对象引用、硬编码凭证等薄弱点。本次漏洞披露前，也有报告称数千台光伏设备直接暴露在公网上。
安全团队曾发出警告，逆变器控制面板、网关和数据采集器不应直接接入公网，否则攻击者可通过暴露的系统入侵能源设备。目前已有3.5万个光伏发电系统暴露在公网中。厂商已发布热修复补丁，用户需落实多项防护措施
Jakkaru表示，发现漏洞后他们第一时间将情况上报给阳光电源产品安全事件响应团队（PSIRT）。阳光电源在24小时内就发布了热修复补丁，研究人员称厂商的响应态度积极。目前公开报告未给出CVE编号、受影响固件清单及面向用户的补丁版本号。
光伏电站所有者应确认名下iSolarCloud账号及关联设备已完成全部更新，及时修改密码，在支持的场景下开启多因素认证。他们还应排查所有用户和管理员账号，删除不再需要访问权限的旧安装人员或第三方用户账号。
运营商还应将云平台访问权限限制在必要功能范围内，避免将逆变器管理接口直接暴露在公网。将管理员系统与普通用户门户隔离，可进一步降低单个账号失陷可能造成的损失。