La Agencia de Seguridad de Ciberseguridad e Infraestructura (CISA) ha emitido una advertencia de asesoramiento urgente sobre una vulnerabilidad crítica en los dispositivos de energía solar SunPower PVS6 que podrían permitir a los atacantes obtener un control completo sobre los sistemas.
El defecto, rastreado como CVE-2025-9696, proviene del uso de credenciales codificadas en la interfaz Bluetoothle del dispositivo, presentando una amenaza significativa para la infraestructura de energía solar en todo el mundo.
La vulnerabilidad afecta las versiones SunPower PVS6 2025.06 Build 61839 y antes, con una puntuación CVSS V4 de 9.4, lo que indica su gravedad crítica.
Los atacantes ubicados dentro del rango Bluetooth pueden explotar esta debilidad para acceder a la interfaz de servicio del dispositivo, permitiéndoles reemplazar el firmware, deshabilitar la producción de energía, modificar la configuración de la red, crear túneles SSH, alterar configuraciones de firewall y manipular dispositivos conectados.
Analistas de CISA identificado que la vulnerabilidad explota los parámetros de cifrado codificados y los detalles de protocolo de acceso público dentro de la implementación de Bluetoothle.
Esta falla de diseño transforma lo que debería ser una interfaz de mantenimiento segura en una puerta de enlace abierta para actores maliciosos. El vector de ataque solo requiere acceso a la red adyacente con baja complejidad, lo que lo hace particularmente preocupante para las instalaciones solares en áreas pobladas.
Mecanismo de ataque técnico y explotación
La vulnerabilidad aprovecha la debilidad inherente en el sistema de autenticación del PVS6, donde las credenciales estáticas proporcionan un punto de entrada consistente para los atacantes.
Una vez que un atacante establece una conexión Bluetooth utilizando estos parámetros codificados, obtiene privilegios administrativos equivalentes a personal de servicio legítimo.
El proceso de explotación implica la ingeniería inversa de la documentación del protocolo disponible públicamente para identificar la secuencia de autenticación.
# Representación simplificada de la vulnerabilidad bluetooth_connection = stating_ble_connection (target_device) if autenticate_with_hardcoded_key (default_service_key): admin_access = true ejecute_firmware_replacation () modify_power_settings ()
La sofisticación del ataque radica en su simplicidad: no se requieren hazañas complejas o técnicas de día cero.
Los atacantes pueden desarrollar herramientas automatizadas para escanear dispositivos vulnerables y comprometerlos sistemáticamente.
El impacto de la vulnerabilidad se extiende más allá de los dispositivos individuales, ya que las unidades comprometidas podrían servir como pivotes para acceder a redes más amplias de infraestructura energética.
En particular, SunPower no ha respondido a los intentos de coordinación de CISA, dejando a los usuarios sin parches oficiales.
CISA recomienda implementar el aislamiento de la red, usar VPN para acceso remoto e implementar sistemas de monitoreo integrales para detectar intentos de acceso no autorizados.
Las organizaciones deben priorizar la actualización de los dispositivos afectados una vez que los parches estén disponibles y considere deshabilitar temporalmente la funcionalidad Bluetooth cuando sea factible operacionalmente.
Aumente su SOC y ayude a su equipo a proteger su negocio con inteligencia gratuita de amenazas de primer nivel: Solicitar prueba de prueba premium de búsqueda TI.
