Em 8 de outubro de 2026, a Agência de Segurança Cibernética e Infraestrutura (CISA) publicou um alerta sobre várias vulnerabilidades críticas no Satel Netco Design, um software usado em infraestruturas de comunicação e controle industrial. Versões anteriores à 2.1.7 contêm quatro falhas principais identificadas pelos números CVE‑2026‑105269, CVE‑2026‑104628, CVE‑2026‑105275 e CVE‑2026‑101024.
A primeira falha, CVE‑2026‑105269, é uma vulnerabilidade de XSS armazenada. Um usuário autenticado com privilégios de Operador de Rede pode armazenar conteúdo não filtrado que é renderizado sem neutralização. Quando outro usuário visualiza esse conteúdo, um script malicioso pode ser executado em seu navegador, comprometendo a segurança da interface do usuário.
A segunda falha, CVE‑2026‑104628, envolve uma expressão regular ineficiente. Um usuário autenticado com privilégios de Visualizador pode enviar uma consulta de pesquisa especialmente projetada que causa processamento excessivo, potencialmente levando à degradação do serviço ou a uma negação de serviço.
As duas últimas falhas, CVE‑2026‑105275 e CVE‑2026‑101024, são falhas de travessia de caminho relativo. A primeira afeta a função de importação de dados, permitindo que um usuário autenticado acesse caminhos de arquivos fora do diretório previsto. A segunda afeta a função de exportação de dados, permitindo que o conteúdo influenciado pelo atacante seja escrito em locais do sistema de arquivos acessíveis ao aplicativo. Em alguns casos, essas ações podem levar à execução de código arbitrário.
A Satel recomenda atualizar para a versão 2.1.7, que corrige todas as vulnerabilidades conhecidas. Até o momento, a CISA não relatou nenhum aproveitamento público, mas a gravidade (pontuações CVSS de até 8,8) justifica uma ação rápida.
Além disso, a CISA aconselha a reduzir a exposição de rede dos dispositivos de controle industrial, colocando-os atrás de firewalls e usando VPNs seguras para acesso remoto. Também se recomenda seguir as melhores práticas de cibersegurança, como atualizações regulares de software, monitoramento de logs e treinamento de pessoal contra engenharia social.