PowerSYSTEM Center: comprove a atualização e os limites das contas
Uma conta autenticada ainda precisa respeitar os limites de sua função. As falhas no PowerSYSTEM Center pedem aceite por produto, atualização e autorização efetiva.
Read in EnglishPor Pentesty
Inclua a conta autenticada no cenário de risco
O aviso da CISA de 3 de novembro de 2026 descreve duas vulnerabilidades no PowerSYSTEM Center, da Subnet Solutions. A CVE-2026-63017 trata de autorização incorreta: uma conta autenticada com poucos privilégios pode alcançar recursos administrativos. A CVE-2026-63774 envolve comandos SQL não autorizados pelo designer de relatórios. Isso não estabelece execução de comandos no sistema operacional ou alteração de processos industriais.
As duas recebem CVSS v3.1 de 9,0, com vetor de ataque adjacente, poucos privilégios e sem interação do usuário. A CISA informou, naquele aviso, que não havia exploração pública conhecida reportada e que as falhas não eram exploráveis remotamente. Preserve esse recorte temporal e técnico. A reportagem de 9 de novembro não muda a data do aviso nem demonstra um novo incidente.
Use a matriz de produtos de cada CVE
No JSON oficial CSAF, a CVE-2026-63017 inclui PowerSYSTEM Center 2020 até 5.29.x, 2024 de 6.0.x a 6.2.x e 2026 de 7.0.x a 7.1.x. A CVE-2026-63774 lista apenas os intervalos de 2024 e 2026. A apresentação HTML repete 2020 no painel de SQL; preserve essa divergência de apresentação e confira a matriz explícita por CVE no documento estruturado.
A orientação de atualização varia por família. Não transforme o nome comercial da atualização em um número de build presumido. Relacione a instalação real ao pacote e à orientação do fornecedor antes de concluir o aceite.
- PowerSYSTEM Center 2020: Update 30 para as instalações afetadas.
- PowerSYSTEM Center 2024: migração para PowerSYSTEM Center 2026 Update 1.1.
- PowerSYSTEM Center 2026: Update 1.1, conforme a orientação citada pela CISA.
Planeje a mudança com a operação
A empresa precisa identificar onde o produto funciona, quais componentes participam do serviço e quem aprova a manutenção. Registre a versão observada e os recursos usados pelos operadores. Prepare uma referência da configuração e um procedimento aprovado de retorno, considerando as dependências que precisam continuar disponíveis durante a janela.
A CISA recomenda análise de impacto e risco antes das medidas defensivas. Na proposta da Pentesty, ensaie primeiro os fluxos representativos em um ambiente acordado: autenticação, consulta e geração de um relatório com dados fictícios. Compare o resultado antes e depois, registrando também o componente que efetivamente recebeu a atualização.
Verifique o limite no serviço que recebe a operação
Para o cenário de autorização, utilize duas contas de teste com funções distintas. Demonstre uma ação permitida à conta de menor privilégio e uma função administrativa que ela deve recusar. Observe a decisão no serviço receptor, junto da identidade e do recurso. A aparência restrita da interface não responde sozinha quais operações o servidor aceita.
No designer de relatórios, confirme quem deve utilizá-lo e quais fontes de dados pode alcançar. O aceite funcional pode começar por relatórios sintéticos aprovados e pela verificação de permissões. Uma investigação especializada sobre exploração exige escopo e isolamento próprios; não execute comandos SQL perigosos em produção como requisito automático para encerrar a atualização.
Dê alcance e prazo às medidas provisórias
Para quem não consegue atualizar imediatamente, o aviso atribui ao fornecedor recomendações de acompanhar atividades e restringir o acesso ao F12 do navegador no Client Access Server. Para SQL, recomenda restringir o designer de relatórios. Registre essas medidas como provisórias, com responsável e condição de revisão. Uma restrição de interface não comprova autorização efetiva no servidor.
A análise de acesso remoto na refrigeração complementa a discussão sobre fronteiras de rede, mas trata de outro caso. Aqui, identifique os caminhos realmente disponíveis à instalação e suas dependências. Não confunda uma segmentação desenhada com evidência de bloqueio, nem amplie testes para equipamentos industriais que não fazem parte do escopo autorizado.
Encerre com versão, permissões e função verificadas
O registro final deve conectar família do produto, atualização adotada, componente observado, contas de teste e resultados permitidos ou recusados. A análise de compatibilidade do EPICS ajuda a considerar clientes e dependências durante a mudança. Preserve pendências com responsáveis quando uma etapa não puder ser conferida.
Esse aceite descreve uma implantação e os cenários examinados. Ele não prova ausência de acessos anteriores, nem autoriza concluir que todas as contas ou integrações estão protegidas. Investigar atividade suspeita é uma tarefa separada, apoiada em registros e período definidos. A aprovação da mudança precisa tornar esses limites visíveis para a operação.
Perguntas frequentes
As falhas permitem acesso anônimo pela internet?
O aviso descreve contas autenticadas com poucos privilégios e vetor adjacente. A CISA afirma, no comunicado de 3 de novembro, que as falhas não são exploráveis remotamente.
A CVE-2026-63774 inclui a versão 2020?
O JSON oficial lista apenas os intervalos de 2024 e 2026 para essa CVE. A apresentação HTML tem uma repetição divergente; use a matriz explícita por CVE e confirme a instalação com o fornecedor.
Bloquear F12 encerra a correção?
O aviso apresenta essa orientação como medida provisória atribuída ao fornecedor. Registre o alcance e verifique a autorização no serviço, mantendo o plano de atualização e suas pendências.
Como comprovar a atualização sem explorar a falha?
Relacione o pacote ao componente em execução e teste funções autorizadas com contas e dados fictícios. Preserve permissões, resultados e limitações; reproduções de exploração exigem avaliação especializada e escopo próprio.
Fontes e referências
- CISA: aviso ICSA-26-307-01, de 3 de novembro de 2026
- CISA CSAF: matriz oficial por CVE e recomendações por produto
Análise original da Pentesty, publicada em 9 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.