阳光电源 iSolarCloud 登录逻辑绕过事件
2026 年 8 月底发现 · 10 月初公开 · 厂商 24 小时内修复
依据 Jakkaru 研究报告 / 阳光电源 PSIRT / 行业媒体报道整理
目 录
[第一章 事件概述](#第一章 事件概述)
[第二章 漏洞详情](#第二章 漏洞详情)
[2.1 平台背景](#2.1 平台背景)
[2.2 漏洞原理](#2.2 漏洞原理)
[2.3 潜在危害](#2.3 潜在危害)
[第三章 处置、修复与行业启示](#第三章 处置、修复与行业启示)
[3.1 厂商响应与用户处置](#3.1 厂商响应与用户处置)
[3.2 行业启示](#3.2 行业启示)
第一章 事件概述
2026 年 10 月初，德国安全公司 Jakkaru 公开研究披露：全球最大光伏逆变器制造商之一阳光电源（Sungrow）的云管理平台 iSolarCloud 存在一处严重的登录业务逻辑缺陷，攻击者只需知道目标用户的有效邮箱地址、无需任何密码，即可登录对应账户。理论上，约 47 万座欧洲光伏电站可被远程操控，波及欧洲、中国、澳大利亚等全球用户与能源运营商。
|------------|-----------------------------------------------------|
| 项目 | 内容 |
| 漏洞归属 | 阳光电源 iSolarCloud 云管理平台（登录流程业务逻辑错误） |
| 发现者 | Jakkaru 公司负责人 Marlon Starkloff（2026 年 8 月底发现并负责任报告） |
| 影响范围 | iSolarCloud 全球用户：光伏电站、逆变器、储能系统的远程管理与监控 |
| 影响规模 | 理论可操控约 47 万座欧洲光伏电站；阳光电源全球装机功率超 1000 GW |
| 利用状态 | 厂商确认未检测到被利用迹象 |
| 修复情况 | 厂商接报后 1 天内完成修复，并启动根因与关联薄弱点深度排查 |
| CVE 状态 | 截至撰稿未见对应 CVE 编号披露 |
第二章 漏洞详情
2.1 平台背景
iSolarCloud 是阳光电源面向全球的统一云管理平台：普通用户用它监控自家光伏电站的发电与储能状态，安装商与厂商则通过同一平台远程管理设备。阳光电源在欧洲市场占有率极高，该平台事实上是大量欧洲光储资产的「总开关」。
2.2 漏洞原理
该漏洞源于登录流程中的一处业务逻辑错误。iSolarCloud 的登录请求除用户名和密码外，还会携带一个标识登录方式的字段 login_type；平台虽采用了加密 REST API、请求签名与自定义请求头等防护机制，但研究发现，向 login_type 字段传入某一特定值后，服务端会直接按请求中填写的账号完成验证，完全忽略密码字段的内容。
换言之，攻击者只要掌握目标用户的有效邮箱地址，即可登录其账户。更严重的是：
- 利用该方式登录时，平台不会向用户发送邮件或其他任何登录提醒------攻击者可以长期潜伏而不被发现；
- 攻击者还可利用账号找回功能实现对账户的长期控制；
- 普通用户账号与管理员账号处于同一管理环境，从普通账号到管理员账号的权限提升风险陡增。
2.3 潜在危害
若管理员账户被入侵，攻击者可控制其权限范围内受影响区域接入云系统的全部光伏电站，包括：
- 查看与修改电站配置、启停逆变器与储能系统；
- 访问平台内注册的组织与用户信息；
- 在云端连接的设备上安装自定义固件------恶意固件可篡改设备运行逻辑。
风险远不止数据窃取：若攻击者对大量联网系统同步执行停机或参数修改，可在削减光伏发电量的同时冲击电网侧的安全稳定。随着逆变器成为国家能源系统的一部分，此类云平台漏洞已属于关键基础设施安全范畴。
第三章 处置、修复与行业启示
3.1 厂商响应与用户处置
阳光电源的响应速度值得肯定：接报后 1 天内完成修复，厂商确认未检测到漏洞被利用的迹象，并启动了针对根因及关联薄弱点的深度排查（其 PSIRT 体系遵循 IEC 62443-4-1 流程，此前已处置过 MQTT 订阅越权 CVE-2025-29756 等事件）。
对使用 iSolarCloud 的用户与运营商，建议：
- 确认 App 与平台端均已更新到最新版本，必要时重新登录以刷新会话；
- 立即修改平台密码，并为账户绑定多因素认证（如平台支持）；
- 核对账户资料与找回邮箱是否被篡改，检查电站配置与设备运行参数有无异常变更记录；
- 电站运营商应对管理员账户实行专人专管与最小授权，定期审计平台操作日志。
3.2 行业启示
- 加密与签名不是业务逻辑缺陷的挡箭牌：本次平台具备加密 API、请求签名等完善机制，仍被一个 login_type 字段值击穿------认证与授权逻辑必须在服务端逐分支严格校验；
- 登录类漏洞必须配套强告警：无登录提醒直接放大了漏洞危害，关键平台应对异常登录（非默认 login_type、异地、异常频率）建立实时告警；
- 云连接能源设备是新型关键基础设施：逆变器、储能系统的云管理平台一旦失陷，影响从「数据泄露」升级到「能源供给与电网稳定」，运维方应将其纳入关键基础设施级别的安全管理体系；
- 负责任披露的价值：本次从发现、报告到全球修复在一至两天内闭环，且确认无在野利用，是厂商 PSIRT 与安全研究者协作的正面样本。