Onderzoekers hebben in verschillende populaire omvormers voor zonnepanelen tientallen beveiligingslekken ontdekt waardoor het in theorie mogelijk zou zijn geweest om het elektriciteitsnet aan te vallen, zo claimt securitybedrijf Forescout dat de problemen identificeerde. Het gaat in totaal om 46 kwetsbaarheden in producten van Sungrow, Growatt en SMA. De fabrikanten hebben inmiddels updates uitgebracht om de beveiligingslekken te verhelpen.

In het geval van SMA ging het om één beveiligingslek. Het bleek mogelijk om .aspx-bestanden naar de webserver van sunnyportal.com te uploaden, wat leidde tot remote code execution op het cloudplatform van de fabrikant. Bij de andere twee fabrikanten bleek het mogelijk om door middel van Insecure Direct Object Reference (IDOR)-kwetsbaarheden, buffer overflows, cross-site scripting en informatielekken om de instellingen van de omvormers aan te passen. Hierdoor zou een aanvaller bijvoorbeeld stroompieken kunnen genereren, wat in theorie tot een blackout zou kunnen leiden, aldus de onderzoekers.

Forescout waarschuwde de drie fabrikanten en stelt dat SMA en Sungrow voortvarend en snel reageerden. In het geval van Growatt duurde het proces veel langer, zo staat in het onderzoeksrapport (pdf). Een aantal van de kwetsbaarheden vereist geen actie van eigenaren van de betreffende omvormers. In het geval van beveiligingslekken in de WiNet-S communicatiedongel van Sungrow moeten gebruikers de laatste update zelf installeren. Sungrow en SMA kwamen zelf ook met advisories over de problemen.