In SMA Sunny Central inverters with firmware version numbers < 10.01.18.R, there is an authenticated (administration rights) SQL injection vulnerability on the administration panel that allows access to a database. The database that can be accessed is a log database that stores measurement data for graphical representation.
Further details, including the advisory, can be found at https://certvde.com/en/advisories/VDE-2024-074.

Información relativa al incidente de ciberseguridad “MOVEit”

En junio de 2023 se detectó en SMA un incidente de ciberseguridad en relación con el software MOVEit. En consecuencia, se desconectó de inmediato el sistema afectado, se inspeccionó siguiendo los procesos de ciberseguridad ya establecidos y se aplicaron las correspondientes medidas de emergencia. La valoración de daños llevada a cabo reveló que, al tratarse de un sistema aislado ajeno a nuestros sistemas centrales, no se habían visto afectados ni datos personales ni datos críticos para la empresa. No se realizó un cifrado de los datos.

El incidente no supone ningún riesgo para los partners y empleados de SMA.

En caso de dudas en torno a este u otros temas en materia de ciberseguridad, envíe un correo electrónico a: Information-Security@sma.de.

Como se ha informado a través de medios de comunicación de todo el mundo, actualmente existe un problema de seguridad cibernética (CVE-2021-44228, https://nvd.nist.gov/vuln/detail/CVE-2021-44228) que permite a los atacantes ejecutar códigos de programas maliciosos en los sistemas de destino poniéndolos en peligro.

Los inversores de SMA y los portales de monitorización de SMA no se están viendo afectados, pero el problema sí que podría llegar a afectar a otros productos de SMA individuales. Para estos casos, SMA ha dispuesto a corto plazo una serie de actualizaciones de software automáticas destinadas a mitigar esta vulnerabilidad. Con el fin de dificultar que los atacantes pongan en peligro los sistemas vulnerables, SMA dará a conocer cuáles son los respectivos productos y versiones una vez ejecutadas las actualizaciones automáticas.

El Servicio Técnico de SMA se pondrá directamente en contacto con aquellos operadores de sistemas Large Scale de SMA cuyos sistemas no cuenten con actualizaciones automáticas para llevar a cabo la instalación de las actualizaciones previa concertación.

Puede encontrar más información al respecto en la declaración del fabricante SMA →. Esta se mantiene permanentemente actualizada.

En caso de preguntas, diríjase a SMA Information-Security@sma.de.

Estamos esforzándonos al máximo para solventar este problema y le pedimos que disculpe cualquier posible molestia que esto pudiera causarle.