Se ha detectado una vulnerabilidad crítica en los inversores de Sungrow que podría haber permitido a atacantes acceder a la plataforma de gestión iSolarCloud sin necesidad de una contraseña válida. Este fallo afectaba al servicio en la nube utilizado para administrar plantas solares, inversores y sistemas de almacenamiento de baterías, representando un riesgo grave para clientes y operadores energéticos en regiones como Europa, China y Australia.

Una vulnerabilidad crítica en los inversores de Sungrow podría haber permitido que atacantes accedieran a la plataforma de gestión iSolarCloud de la empresa sin una contraseña válida.

El fallo afectaba al servicio en la nube utilizado para gestionar plantas solares, inversores y sistemas de almacenamiento de baterías, creando un riesgo grave para los clientes y operadores energéticos en Europa, China, Australia y otras regiones.

Vulnerabilidad del Inversor Sungrow

Según la investigación publicada por Jakkaru, el fallo era un error de lógica de negocio en el proceso de inicio de sesión de iSolarCloud. Sungrow solucionó el problema en un plazo de un día tras ser notificado y comenzó una revisión más profunda para encontrar la causa raíz y las debilidades relacionadas, según los investigadores.

Sungrow es uno de los mayores fabricantes de inversores solares del mundo. La empresa afirmó que había desplegado más de 870 GW de convertidores electrónicos de potencia en todo el mundo para junio de 2025, mientras que Jakkaru estimó posteriormente que la cifra había superado los 1.000 GW. Su gran presencia en Europa significa que un problema de seguridad en la nube puede afectar a mucho más que una sola instalación solar doméstica o empresarial.

La plataforma afectada, iSolarCloud, permite que los usuarios y administradores accedan remotamente a los activos solares. Jakkaru descubrió que el servicio utilizaba solicitudes REST API cifradas, firmas de solicitud y encabezados personalizados. Estos controles dificultaron las pruebas, pero no detuvieron el problema de inicio de sesión subyacente.

Durante su revisión, el equipo examinó un campo de inicio de sesión llamado login_type. Los investigadores descubrieron que el uso de un valor particular hacía que iSolarCloud autenticara la cuenta nombrada en la solicitud ignorando el campo de la contraseña.

En términos prácticos, una persona con una dirección de correo electrónico de destino válida podría haber accedido a la cuenta de ese usuario sin conocer la contraseña. Los investigadores señalaron que la plataforma no enviaba un correo electrónico ni ninguna otra alerta de inicio de sesión cuando se utilizaba este método.

Esto hizo que el problema fuera especialmente preocupante porque un usuario no autorizado podría haber pasado desapercibido y luego utilizar las funciones de recuperación de cuenta para tomar el control de la misma a largo plazo. Jakkaru afirmó que las cuentas regulares de clientes y las cuentas administrativas compartían el mismo entorno de gestión, lo que aumentaba el riesgo de escalada de privilegios.

Una cuenta de administrador comprometida podría haber dado a un intruso un control amplio sobre las plantas solares vinculadas al sistema de nube regional afectado. Según Jakkaru, esto incluía la capacidad de ver y modificar plantas, iniciar o detener inversores y sistemas de baterías, acceder a organizaciones y usuarios registrados, e instalar firmware personalizado en dispositivos conectados a la nube.

El riesgo no se limitaba al robo de datos. Una actualización de firmware maliciosa podría cambiar el funcionamiento de un dispositivo, mientras que apagados coordinados o cambios en muchos sistemas conectados podrían reducir la generación solar simultáneamente. Esta es una preocupación creciente a medida que los inversores se convierten en una parte importante de los sistemas energéticos nacionales.

Cyber Security News ha informado anteriormente sobre el problema de seguridad más amplio de los inversores solares. Un estudio independiente reveló 46 fallos entre los principales proveedores de inversores, incluyendo problemas que podrían permitir el control remoto de la generación de energía.

En esa investigación, los sistemas de Sungrow fueron vinculados a debilidades relacionadas con dongles de comunicación, referencias directas a objetos no seguras y credenciales codificadas. La divulgación de Sungrow también se produce tras los informes de miles de dispositivos solares expuestos a internet.

Los equipos de seguridad han advertido que los paneles de control de inversores, las pasarelas y los registradores de datos no deben colocarse directamente en la internet pública, ya que los sistemas expuestos pueden dar a los criminales una vía de entrada al equipo energético. 35.000 sistemas de energía solar expuestos a internet.

Jakkaru afirmó que informó inmediatamente del hallazgo al Equipo de Respuesta a Incidentes de Seguridad de Productos de Sungrow, o PSIRT. Sungrow lanzó un parche urgente en un día, y los investigadores describieron la respuesta de la empresa como positiva. El informe público no proporciona un número de CVE, una lista de firmware afectado ni una versión de parche orientada al cliente.

Si eres propietario de una planta solar, debes confirmar que tu cuenta de iSolarCloud y los dispositivos asociados estén totalmente actualizados. Deberías cambiar las contraseñas, activar la autenticación de múltiples factores donde esté disponible, revisar las cuentas de usuario y administrador, y eliminar a los antiguos instaladores o usuarios externos que ya no necesiten acceso.

Los operadores también deberían limitar el acceso a la nube a las funciones necesarias y evitar exponer las interfaces de gestión de inversores directamente a internet. Separar los sistemas administrativos de los portales normales de clientes reduciría aún más el daño que podría causar una sola cuenta comprometida.

Fuentes:
https://cybersecuritynews.com/sungrow-inverter-vulnerability/