Abertura
A agência de segurança cibernética dos Estados Unidos (CISA) publicou avisos de vulnerabilidades críticas que afetam o openPDC e o openHistorian, componentes da Grid Protection Alliance amplamente utilizados em infraestruturas de energia. As falhas, identificadas em versões anteriores a 2.9.477, 2.9.482 e 2.8.580, 2.8.585, recebem pontuação CVSS 9, 8, indicando risco elevado de comprometimento de sistemas críticos.
Contexto
O openPDC (Phasor Data Concentrator) e o openHistorian são plataformas de código aberto que coletam, armazenam e analisam dados de medição em tempo real de redes elétricas. Elas são adotadas por operadores de energia em todo o mundo, inclusive em setores críticos que dependem de monitoramento contínuo para garantir a estabilidade da rede. A CISA, responsável por monitorar ameaças à infraestrutura nacional, identificou múltiplas vulnerabilidades, listadas sob os identificadores CVE-2026-104629, CVE-2026-100730, CVE-2026-105281, CVE-2026-85479, CVE-2026-101022 e CVE-2026-105278. Essas falhas foram detectadas em auditorias de segurança e relatadas ao fornecedor, que respondeu com atualizações de software.
Impacto
Empresas de energia, operadores de redes de transmissão e outras organizações que dependem do openPDC ou do openHistorian podem estar expostas a ataques que vão desde a execução remota de código até a divulgação não autorizada de topologias de rede. Em particular, a vulnerabilidade descrita no CVE-2026-100730 permite que um invasor deserializa dados não confiáveis, potencialmente executando código arbitrário com privilégios do serviço afetado. Quando a autenticação baseada em Windows não está habilitada, o ataque pode ser realizado por um agente externo sem credenciais. Já o CVE-2026-105281 expõe a interface de publicação interna do openPDC, permitindo que um atacante obtenha a topologia completa de dispositivos e medições, o que pode facilitar planejamentos de sabotagem ou espionagem industrial. A combinação desses vetores eleva o risco para interrupções de serviço, manipulação de dados de medição e comprometimento de sistemas de controle.
Detalhes técnicos
A falha de deserialização (CVE-2026-100730) ocorre em uma interface de console de serviço que aceita estruturas de dados enviadas por clientes. Em ambientes que utilizam autenticação Windows, o invasor precisaria já estar autenticado; porém, em configurações padrão sem autenticação, o vetor está aberto a qualquer agente na rede. A exploração pode levar à execução de código arbitrário sob a conta de serviço, permitindo controle total sobre o aplicativo vulnerável.
Outra vulnerabilidade crítica, CVE-2026-105281, refere‑se ao publicador interno de dados do openPDC, que aceita conexões de rede sem exigir autenticação. Um atacante pode conectar‑se ao serviço e extrair a topologia completa de dispositivos e medições, informação sensível para a operação de redes elétricas. A correção proposta pela Grid Protection Alliance altera a configuração padrão, limitando o vínculo da interface ao endereço de loopback local, reduzindo a exposição externa. Contudo, instalações existentes que foram atualizadas a partir de versões anteriores mantêm a configuração anterior, exigindo verificação manual pelos administradores.
A vulnerabilidade CVE-2026-105278, presente apenas nas imagens Docker do openPDC, não recebeu correção até o momento. A própria Grid Protection Alliance recomenda que essas imagens não sejam utilizadas em ambientes de produção, pois o conserto ainda não foi publicado.
Encerramento
A Grid Protection Alliance disponibilizou versões corrigidas a partir do openPDC 2.9.482 e do openHistorian 2.8.585, incorporando validações adicionais na lógica de serialização e ajustando a configuração padrão de interfaces de rede. Organizações que utilizam essas ferramentas devem atualizar imediatamente para as versões corretas e revisar as configurações de autenticação, especialmente em ambientes que ainda dependem de credenciais padrão ou que operam sem autenticação Windows. A CISA recomenda ainda a aplicação de boas práticas de segmentação de rede e monitoramento de tráfego para detectar tentativas de exploração. O alerta completo e os detalhes técnicos podem ser consultados no portal da CISA, que mantém o registro de vulnerabilidades (CSAF) e orientações de mitigação para os operadores de infraestrutura crítica.