A CISA adicionou à sua Known Exploited Vulnerabilities uma falha crítica em OpenPLC ScadaBR que permite upload de arquivos JSP e execução remota, elevando o alerta para operadores de infraestruturas industriais.
Resumo técnico
O problema, identificado como CVE-2021-26828 nas fontes, é classificado sob CWE-434 (Unrestricted Upload of File with Dangerous Type) e permite que usuários autenticados façam upload de arquivos JSP via a interface view_edit.shtm, levando à execução remota de código (RCE) em ambientes OpenPLC ScadaBR.
Ações e prazos
A CISA definiu prazo de correção até 24 de dezembro de 2025, orientando que agências federais e operadores de infraestrutura crítica priorizem a remediação. A agência recomenda três passos principais, conforme relatado nas matérias:
- Aplicar mitigações fornecidas pelo fabricante seguindo instruções do fornecedor.
- Para implantações em nuvem, seguir orientações do Binding Operational Directive (BOD 22-01).
- Considerar descontinuação do uso do OpenPLC ScadaBR caso não haja mitigações adequadas disponíveis.
Impacto potencial
Em ambientes industriais, a execução remota via upload de JSP pode oferecer persistência, controle de sistemas e movimentação lateral em redes OT/IT convergentes. As matérias destacam o risco de interrupção de operações críticas e a atratividade da falha para atores que visem sistemas de controle industrial.
Mitigações operacionais
Além das orientações da CISA citadas pelas fontes, as matérias sugerem medidas práticas que equipes de segurança e operações devem priorizar:
- Inventariar implantações OpenPLC ScadaBR e validar estado de patch.
- Isolar e segmentar redes OT para limitar acesso às interfaces administrativas.
- Restringir uploads por regras de firewall e monitorar tentativas de upload de arquivos JSP.
- Revisar logs de acesso para identificar possíveis tentativas de exploração e coordenar com fornecedores para procedimentos de correção.
Limitações das fontes
As matérias não relatam instâncias específicas de exploração em larga escala nem atribuem uso ativo em campanhas de ransomware, apenas ressaltam que a natureza da falha a torna atraente para atores maliciosos. Informações mais detalhadas sobre vetores de exploração em campo ou amostras de ataque não foram divulgadas nas fontes consultadas.
Contexto regulatório
Para organizações brasileiras que utilizem componentes importados em sistemas industriais, a inclusão na lista da CISA reforça a necessidade de governança de fornecedores e de aplicação de práticas de gestão de vulnerabilidades alinhadas a prazos e orientações de agências internacionais.