Um alerta da CISA, publicado em 1º de outubro de 2026, informa que falhas no Monta monta.app podem permitir controle administrativo não autorizado de estações de recarga vulneráveis ou interrupção dos serviços. O aviso classifica como afetadas todas as versões do produto e cita quatro identificadores: CVE-2026-95102, CVE-2026-97363, CVE-2026-97212 e CVE-2026-93474. As pontuações informadas são 9,4 no CVSS 3.1 e 9,3 no CVSS 4.0, ambas críticas.
Entre os problemas descritos estão endpoints WebSocket sem autenticação adequada, falta de limite para solicitações de autenticação, expiração insuficiente de sessões e proteção inadequada de credenciais. O alerta aponta possível acesso a dados sensíveis, ações não autorizadas, força bruta e negação de serviço. O contexto indicado inclui os setores de energia e transporte, com implantação mundial; a sede da empresa é informada como estando nos Países Baixos.
Segundo o aviso, a Monta trabalha para ampliar conexões autenticadas e eliminar gradualmente o acesso não autenticado. A empresa informa que oferece suporte ao OCPP 1.6 Security Profile 2, com HTTP Basic Auth sobre TLS, e incentiva operadores a habilitá-lo. Também relata limitação de taxa e controle automatizado de conexões WebSocket para identificar e bloquear padrões abusivos. Consulte a equipe responsável pelas estações e o fornecedor para avaliar as medidas aplicáveis ao seu ambiente; não presuma que a descrição do aviso confirme a situação atual de cada instalação.
Para conferir escopo, identificadores e atualizações, consulte o aviso original da CISA e seu resumo CSAF, procurando pelo título e pelos CVEs citados. Compare os detalhes com as comunicações atuais do produto