Militares do CDCAER encontraram três vulnerabilidades no Sunhillo SureLine, plataforma que distribui dados de radar para FAA, EUROCONTROL e Pentágono; a mais grave passa pelo mesmo ponto do sistema já usado por uma botnet em ataques anteriores
*LRCA Defense Consulting - 30/10/2026 - 11h21
Uma equipe de segurança ofensiva do Centro de Defesa Cibernética da Aeronáutica (CDCAER) identificou três vulnerabilidades no Sunhillo SureLine, conjunto de software que faz funcionar os gateways e as plataformas de vigilância da empresa norte-americana Sunhillo. Esses equipamentos recebem dados de radar, convertem formatos e distribuem as informações aos sistemas de controle de tráfego aéreo de aeroportos e provedores de navegação aérea, entre eles a Federal Aviation Administration (FAA), a EUROCONTROL e o Departamento de Defesa dos Estados Unidos (DoD), além de clientes em dezenas de países, incluindo o Brasil.
As falhas foram tornadas públicas em 27 de outubro, no banco de dados do programa CVE, referência mundial para o registro de vulnerabilidades. A publicação ocorreu depois que o fabricante liberou a versão 9.1.5 do SureLine, que corrige os três problemas. Segundo os registros, todas as versões da 8.0.0 até a 9.1.4 estão afetadas.
O que os pesquisadores encontraram
A falha mais grave, catalogada como CVE-2026-112352, recebeu nota 9.1 na escala CVSS e foi classificada como crítica. Trata-se de um bypass de autenticação: o sistema aceitava um cookie de sessão que continha apenas o nome do usuário em texto aberto, sem identificador aleatório e sem qualquer proteção de integridade. Na prática, um atacante remoto, sem credenciais, poderia forjar esse cookie com nomes de contas padrão (como Admin ou sftp_user) e se passar por qualquer usuário com sessão ativa. De acordo com a descrição oficial da vulnerabilidade, o acesso obtido dessa forma pode ser encadeado até a execução de comandos com privilégios de root, o nível máximo de controle sobre o equipamento.
A segunda, CVE-2026-112351 (CVSS 8.8, alta), é uma injeção de comandos no sistema operacional, que exige apenas um acesso de baixo privilégio para ser explorada e compromete confidencialidade, integridade e disponibilidade do sistema. A terceira, CVE-2026-112350 (CVSS 7.5, alta), é um path traversal sem autenticação no módulo radarUpdater.cgi, que permite ler arquivos arbitrários do equipamento com privilégios de root. Entre os arquivos alcançáveis estão a base de senhas do sistema, o cadastro de usuários da interface web, a chave SSH privada do administrador e a chave privada TLS do dispositivo, o que abre caminho para o comprometimento completo.
Um alvo que os criminosos já conhecem
O SureLine não é estranho ao mundo do crime cibernético. Em julho de 2021, a consultoria britânica NCC Group revelou uma falha de injeção de comandos sem autenticação no módulo networkDiag.cgi do mesmo software (CVE-2021-36380, nota 9.8), que permitia executar comandos com privilégios de root. A empresa corrigiu o problema na versão 8.7.0.1.1, mas equipamentos sem atualização continuaram expostos. Em outubro de 2023, a FortiGuard Labs, da Fortinet, registrou uma campanha da botnet IZ1H9, derivada do Mirai, explorando essa falha. Em março de 2024, a agência norte-americana de segurança cibernética, CISA, incluiu a vulnerabilidade em seu catálogo de falhas comprovadamente exploradas.
O detalhe que chama a atenção é que a cadeia de exploração descrita na nova falha crítica passa justamente pelo networkDiag.cgi, o mesmo ponto do sistema atacado anos atrás. Até a data da publicação, porém, os sensores de monitoramento da OffSeq não haviam registrado tráfego de ataque explorando as novas vulnerabilidades.
Divulgação responsável
A descoberta seguiu o modelo de divulgação coordenada. As falhas foram reportadas por meio da VulnCheck, empresa norte-americana autorizada a atribuir identificadores CVE (as chamadas CNA), e tratadas diretamente com a Sunhillo. Os identificadores foram reservados em 19 de outubro e publicados oito dias depois, já com a correção disponível. Em outras palavras, os operadores tiveram acesso à atualização antes que os detalhes técnicos se tornassem públicos.
Os créditos da pesquisa são atribuídos a cinco militares: Bruno Alvarenga, Rafael Salema Marques, Allan Victor, Mateus Romão e Ewerton Reis. Marques, que se apresenta como oficial de operações do CDCAER e um dos autores do achado, resumiu a filosofia do trabalho em publicação no LinkedIn: “Pesquisa ofensiva com método: fecha a superfície antes que alguém a explore”. Para ele, a defesa cibernética se tornou parte essencial da segurança da aviação, no Brasil e no exterior.
O peso do achado para o Brasil
No País, o tema ganha uma dimensão adicional. Diferentemente de nações que separam o controle de tráfego civil da vigilância militar, o Brasil adota um modelo integrado, no qual os Centros Integrados de Defesa Aérea e Controle de Tráfego Aéreo (CINDACTA), subordinados ao Departamento de Controle do Espaço Aéreo (DECEA), cuidam simultaneamente da aviação civil e da defesa aérea. Um equipamento que distribui dados de radar, portanto, não serve apenas para organizar pousos e decolagens; integra também a cadeia que permite detectar e acompanhar aeronaves não identificadas.
A Sunhillo exporta seus produtos para o Brasil ao menos desde a década passada, segundo informações divulgadas pela própria empresa em 2017. Não há, contudo, informação pública sobre quais unidades do sistema brasileiro de controle do espaço aéreo utilizam o SureLine, nem se as instalações nacionais já receberam a versão corrigida. Esses pontos dependem de posicionamento oficial da Força Aérea Brasileira (FAB).
Defesa cibernética que sai da teoria
O CDCAER foi concebido como órgão central do Sistema de Defesa Cibernética da Aeronáutica (SISDCAER), com a missão de planejar, executar e supervisionar as atividades de segurança da informação, defesa e guerra cibernética em favor do poder aeroespacial, conforme a diretriz DCA 14-8/2022. O centro integra o Sistema Militar de Defesa Cibernética, coordenado pelo Comando de Defesa Cibernética (ComDCiber), do Exército.
O episódio é um dos primeiros resultados concretos e públicos dessa estrutura. Pesquisar vulnerabilidades em produtos de fornecedores estrangeiros, antes que adversários o façam, é prática corrente em forças armadas e agências de inteligência de países com maior tradição no domínio cibernético. Ao assinar descobertas registradas em base internacional, num produto usado pelas principais autoridades aeronáuticas do mundo, a FAB mostra que adquiriu capacidade técnica para atuar nesse nível, e que a dependência de software importado em infraestrutura crítica exige verificação independente, não apenas confiança no fornecedor.
