*LRCA Defense Consulting - 30/10/2026 - 11h21 (atualizado às 17h36)
Uma equipe de segurança ofensiva do Centro de Defesa Cibernética da Aeronáutica (CDCAER) identificou três vulnerabilidades no Sunhillo SureLine, conjunto de software que faz funcionar os gateways e as plataformas de vigilância da empresa norte-americana Sunhillo. Esses equipamentos recebem dados de radar, convertem formatos e distribuem as informações aos sistemas de controle de tráfego aéreo de aeroportos e provedores de navegação aérea, entre eles a Federal Aviation Administration (FAA), a EUROCONTROL e o Departamento de Defesa dos Estados Unidos (DoD), além de clientes em dezenas de países, incluindo o Brasil.
As falhas foram tornadas públicas em 27 de outubro, no banco de dados do programa CVE, referência mundial para o registro de vulnerabilidades. A publicação ocorreu depois que o fabricante liberou a versão 9.1.5 do SureLine, que corrige os três problemas. Segundo os registros, todas as versões da 8.0.0 até a 9.1.4 estão afetadas.
O que os pesquisadores encontraram
A falha mais grave, catalogada como CVE-2026-112352, recebeu nota 9.1 na escala CVSS e foi classificada como crítica. Trata-se de um bypass de autenticação: o sistema aceitava um cookie de sessão que continha apenas o nome do usuário em texto aberto, sem identificador aleatório e sem qualquer proteção de integridade. Na prática, um atacante remoto, sem credenciais, poderia forjar esse cookie com nomes de contas padrão (como Admin ou sftp_user) e se passar por qualquer usuário com sessão ativa. De acordo com a descrição oficial da vulnerabilidade, o acesso obtido dessa forma pode ser encadeado até a execução de comandos com privilégios de root, o nível máximo de controle sobre o equipamento.
A segunda, CVE-2026-112351 (CVSS 8.8, alta), é uma injeção de comandos no sistema operacional, que exige apenas um acesso de baixo privilégio para ser explorada e compromete confidencialidade, integridade e disponibilidade do sistema. A terceira, CVE-2026-112350 (CVSS 7.5, alta), é um path traversal sem autenticação no módulo radarUpdater.cgi, que permite ler arquivos arbitrários do equipamento com privilégios de root. Entre os arquivos alcançáveis estão a base de senhas do sistema, o cadastro de usuários da interface web, a chave SSH privada do administrador e a chave privada TLS do dispositivo, o que abre caminho para o comprometimento completo.
Um alvo que os criminosos já conhecem
O SureLine não é estranho ao mundo do crime cibernético. Em julho de 2021, a consultoria britânica NCC Group revelou uma falha de injeção de comandos sem autenticação no módulo networkDiag.cgi do mesmo software (CVE-2021-36380, nota 9.8), que permitia executar comandos com privilégios de root. A empresa corrigiu o problema na versão 8.7.0.1.1, mas equipamentos sem atualização continuaram expostos. Em outubro de 2023, a FortiGuard Labs, da Fortinet, registrou uma campanha da botnet IZ1H9, derivada do Mirai, explorando essa falha. Em março de 2024, a agência norte-americana de segurança cibernética, CISA, incluiu a vulnerabilidade em seu catálogo de falhas comprovadamente exploradas.
O detalhe que chama a atenção é que a cadeia de exploração descrita na nova falha crítica passa justamente pelo networkDiag.cgi, o mesmo ponto do sistema atacado anos atrás. Até a data da publicação, porém, os sensores de monitoramento da OffSeq não haviam registrado tráfego de ataque explorando as novas vulnerabilidades.
Divulgação responsável
A descoberta seguiu o modelo de divulgação coordenada. As falhas foram reportadas por meio da VulnCheck, empresa norte-americana autorizada a atribuir identificadores CVE (as chamadas CNA), e tratadas diretamente com a Sunhillo. Os identificadores foram reservados em 19 de outubro e publicados oito dias depois, já com a correção disponível. Em outras palavras, os operadores tiveram acesso à atualização antes que os detalhes técnicos se tornassem públicos.
Os créditos da pesquisa são atribuídos a cinco militares: Bruno Alvarenga, Rafael Salema Marques, Allan Victor, Mateus Romão e Ewerton Reis. Marques, que se apresenta como oficial de operações do CDCAER e um dos autores do achado, resumiu a filosofia do trabalho em publicação no LinkedIn: “Pesquisa ofensiva com método: fecha a superfície antes que alguém a explore”. Para ele, a defesa cibernética se tornou parte essencial da segurança da aviação, no Brasil e no exterior.
O peso do achado para o Brasil
No País, o tema ganha uma dimensão adicional. Diferentemente de nações que separam o controle de tráfego civil da vigilância militar, o Brasil adota um modelo integrado, no qual os Centros Integrados de Defesa Aérea e Controle de Tráfego Aéreo (CINDACTA), subordinados ao Departamento de Controle do Espaço Aéreo (DECEA), cuidam simultaneamente da aviação civil e da defesa aérea. Um equipamento que distribui dados de radar, portanto, não serve apenas para organizar pousos e decolagens; integra também a cadeia que permite detectar e acompanhar aeronaves não identificadas.
Vale distinguir as camadas envolvidas. Os controladores do DECEA trabalham com o SAGITARIO, sistema de automação desenvolvido pela Atech, empresa do Grupo Embraer, e implantado a partir de 2010 nos Centros de Controle de Área e em Controles de Aproximação de todo o País. É ele que reúne dados de vigilância, planos de voo e meteorologia nas telas dos operadores. O SureLine atua um degrau abaixo: recebe os dados dos sensores, converte formatos, filtra, valida e distribui as informações aos sistemas de automação. As duas soluções, portanto, não são alternativas, mas partes diferentes da mesma cadeia. A FAA, por exemplo, tem seus próprios sistemas de automação e, ainda assim, emprega equipamentos da Sunhillo. As vulnerabilidades descobertas não atingem o SAGITARIO, mas um dado de radar interrompido ou adulterado na camada de distribuição chegaria comprometido a qualquer sistema que o consuma.
A Sunhillo exporta seus produtos para o Brasil ao menos desde a década passada, segundo informações divulgadas pela própria empresa em 2017. Não há, contudo, informação pública sobre quais unidades do sistema brasileiro de controle do espaço aéreo utilizam o SureLine, nem se as instalações nacionais já receberam a versão corrigida. Esses pontos dependem de posicionamento oficial da Força Aérea Brasileira (FAB).
Defesa cibernética que sai da teoria
O CDCAER foi concebido como órgão central do Sistema de Defesa Cibernética da Aeronáutica (SISDCAER), com a missão de planejar, executar e supervisionar as atividades de segurança da informação, defesa e guerra cibernética em favor do poder aeroespacial, conforme a diretriz DCA 14-8/2022. O centro integra o Sistema Militar de Defesa Cibernética, coordenado pelo Comando de Defesa Cibernética (ComDCiber), do Exército.
O episódio é um dos primeiros resultados concretos e públicos dessa estrutura. Pesquisar vulnerabilidades em produtos de fornecedores estrangeiros, antes que adversários o façam, é prática corrente em forças armadas e agências de inteligência de países com maior tradição no domínio cibernético. Ao assinar descobertas registradas em base internacional, num produto usado pelas principais autoridades aeronáuticas do mundo, a FAB mostra que adquiriu capacidade técnica para atuar nesse nível, e que a dependência de software importado em infraestrutura crítica exige verificação independente, não apenas confiança no fornecedor.












.webp)



