Ninguém ataca a subestação pelo site institucional. Até atacar.

Ninguém ataca a subestação pelo site institucional. Até atacar. O site da sua planta é feito por agência, em Joomla, com um plugin de page builder que ninguém atualiza porque "é só o site". O CVE-2026-56290 mora exatamente ali. O que ele permite: upload de arquivo sem qualquer autenticação. Na prática, execução remota de código no servidor web. CVSS 10.0 nas duas versões do padrão — v3.1 e v4.0 concordam, o que raramente acontece. Está no catálogo KEV da CISA, com prazo de remediação já vencido. Por que isso interessa a quem opera planta: esse servidor não vive isolado. Ele fala com o domínio corporativo, com o backup, com a VPN de manutenção. É o primeiro salto de uma cadeia que termina na estação de engenharia que escreve no PLC. Patch para a 3.6.0 resolve a vulnerabilidade. Não responde à pergunta que de fato decide o risco: o que esse servidor alcança? Se a resposta inclui a rede de engenharia, o problema nunca foi o plugin. Na sua operação, quem responde em 3 dias úteis o caminho completo entre o site público e o PLC da linha? Comente DIAGNÓSTICO que eu envio as 12 perguntas que uso para avaliar isso. #CibersegurançaIndustrial #SegurançaOT #InfraestruturaCrítica #IEC62443 #GestãoDeRisco