逆变器僵尸网络？全球三大光伏逆变器产品曝出数十个严重漏洞

近日 ，逆变逆变网络安全公司Forescout旗下研究机构Vedere Labs发布了一份重磅报告 ，器僵球大器产披露了全球三大领先太阳能逆变器制造商——尚德（Sungrow）、尸网固德威（Growatt）和SMA的络全产品中存在多达46个安全漏洞
。

这些漏洞可能被攻击者利用 ，光伏个严远程控制设备或在厂商的品曝云平台上执行恶意代码，潜在影响被评估为“严重”，出数可能威胁电网稳定和用户隐私 。重漏

漏洞详情与潜在威胁

根据Vedere Labs的逆变逆变研究
，这46个漏洞主要涉及尚德 、器僵球大器产固德威和SMA的尸网光伏逆变器产品。作为全球排名前六的络全制造商 ，高防服务器这三家企业的光伏个严设备广泛应用于光伏发电系统
。报告指出，品曝这些漏洞可能导致未经授权访问云平台资源、出数远程代码执行（RCE）、设备劫持、信息泄露
，甚至引发物理损坏或拒绝服务攻击（DoS）
 。

其中，SMA产品仅涉及一个漏洞（CVE-2025-0731）
。攻击者可通过上传恶意.ASPX文件至SMA的“Sunny Portal”光伏监控平台
，实现远程代码执行 。而对于尚德和固德威的逆变器 ，攻击路径更为多样且影响深远。建站模板研究人员在报告中详细描述了如何利用这些新披露的漏洞“劫持”逆变器 。

对于固德威的逆变器，攻击者仅通过云端后端即可轻松接管设备。报告称，攻击者可通过暴露的API无需认证即可枚举用户名
，随后利用两个不安全的直接对象引用（IDOR）漏洞接管账户 ，或通过两个存储型跨站脚本（XSS）漏洞注入JavaScript窃取凭证。获得访问权限后，攻击者可操作逆变器 ，例如开关设备或修改配置参数 ，尽管控制并非完全的。模板下载

相比之下，尚德的逆变器接管过程“稍显复杂”，涉及多个漏洞组件
。攻击者可通过IDOR漏洞（如CVE-2024-50685、CVE-2024-50693 、CVE-2024-50686）从后端获取通信加密狗序列号，利用硬编码的MQTT凭证（CVE-2024-50692）发布针对特定逆变器的消息，再通过堆栈溢出漏洞（CVE-2024-50694
 、CVE-2024-50695、CVE-2024-50698）发送精心构造的消息，在连接逆变器的通信加密狗上实现远程代码执行。免费模板这些漏洞被评级为“严重”，若攻击者控制大量设备 ，威胁将成倍放大。

对电网的潜在冲击

研究人员警告 ，若攻击者控制住宅或商用逆变器群，可能会通过调节功率输出扰乱电网供需平衡。报告指出，每台逆变器可在光伏面板当前生产水平范围内调整发电量
 ，若多台被劫持的逆变器协同作用，可能对电网产生“显著影响” 。在极端情况下，攻击者可将逆变器组成僵尸网络，在高峰时段协调降低发电量，进而影响电网负载。亿华云

Vedere Labs进一步解释 ，攻击者可通过“逆向调节逆变器功率输出”对抗主控系统。当主控系统试图降低负载时，攻击会迅速减少所有负载 ，迫使主控系统提升负载，随后攻击者立即增加负载 。这种反复操作可能导致电网不稳定，甚至造成严重破坏。

除了对电网的威胁 ，这些漏洞还可能被用于窃取用户隐私或发起勒索攻击。攻击者可通过厂商云平台劫持智能家居设备 ，或锁住逆变器并索要赎金。研究人员强调，这些场景不仅影响能源安全
，还可能波及普通用户的服务器租用日常生活 。

厂商积极响应与修复

报告称
，尚德和SMA已修补所有报告的漏洞。尚德在修复后主动寻求确认 ，并表示愿意持续改进安全态势。固德威也已发布补丁 ，且无需用户对逆变器进行硬件调整 。Vedere Labs对厂商的积极响应表示认可，但也呼吁行业进一步关注光伏设备的安全性。

结语

此次漏洞披露为光伏行业再次敲响警钟，随着可再生能源的普及
，光伏逆变器作为光伏系统的核心组件，其安全性愈发重要  。Forescout在报告中呼吁制造商和用户共同努力，提升设备和云平台的安全防护，以应对日益复杂的网络威胁 。