A agência norte-americana de cibersegurança CISA republicou, a 12 de Novembro de 2026, um aviso relativo a uma vulnerabilidade crítica que afecta determinadas aplicações da plataforma Siemens Industrial Edge Management. A falha poderá permitir a interrupção de serviços ou a execução de código não autorizado, dependendo da configuração dos sistemas afectados.

FACTO DOCUMENTADO

Entidade: CISA — Agência de Cibersegurança e Segurança das Infraestruturas dos EUA
Fabricante: Siemens
Plataforma: Industrial Edge Management
Aviso: ICSA-26-316-03
Vulnerabilidade: CVE-2026-111497 — Node2Shell
Gravidade: Crítica — CVSS v3.1 de 9,8/10
Divulgação inicial pela Siemens: 30 de Outubro de 2026
Actualização do fabricante: 6 de Novembro de 2026
Republicação pela CISA: 12 de Novembro de 2026
Possíveis consequências: Divulgação de informação, interrupção de serviços ou execução de código
Estado: Correcções parciais disponíveis; outras medidas de mitigação necessárias

A vulnerabilidade afecta o descodificador Brotli utilizado por determinados componentes da plataforma Siemens Industrial Edge.

Quando a funcionalidade vulnerável está exposta, um atacante poderá explorar dados comprimidos especialmente preparados para provocar corrupção de memória e, em determinadas condições, executar código não autorizado.

A Siemens disponibilizou actualizações para várias aplicações afectadas, mantendo recomendações de mitigação para componentes ainda sem correcção.

O fabricante esclarece que instalações do Industrial Edge Management sem aplicações de gestão instaladas não necessitam de intervenção específica para esta vulnerabilidade, uma vez que a funcionalidade afectada não está exposta.

CONTEXTO

A plataforma Industrial Edge permite executar e gerir aplicações junto de equipamentos e processos industriais, integrando sistemas de processamento, conectividade e administração de dispositivos.

A republicação pela CISA amplia a divulgação de um aviso originalmente emitido pela Siemens, não constituindo uma nova descoberta ou confirmação de ataque.

A protecção destes ambientes é particularmente relevante quando aplicações industriais dependem de serviços digitais e de ligações a redes externas.

SINAL IDENTIFICADO

A vulnerabilidade demonstra que componentes de software utilizados em plataformas industriais podem introduzir riscos de segurança para sistemas de gestão e processamento operacional.

A necessidade de aplicar correcções específicas e medidas temporárias de protecção reforça a importância da gestão contínua de vulnerabilidades e do controlo dos acessos às redes industriais.

O sinal identificado é de exposição potencial de plataformas industriais a uma vulnerabilidade crítica, não de confirmação de ciberataques, sabotagem ou interrupções efectivas de infraestruturas essenciais.

POSSÍVEIS IMPLICAÇÕES PARA PORTUGAL

Não foram identificados incidentes em Portugal associados a esta vulnerabilidade nem foi confirmada a sua presença em infraestruturas críticas nacionais.

Contudo, a falha poderá ser relevante para organizações portuguesas que utilizem aplicações Siemens Industrial Edge afectadas.

A eventual exposição dependerá das versões instaladas, das funcionalidades utilizadas e das condições de acesso aos sistemas.

O Centro Nacional de Cibersegurança recomenda que os operadores de sistemas industriais mantenham inventários actualizados, protejam os acessos remotos, segmentem redes e apliquem correcções de segurança de acordo com as indicações dos fabricantes.

Não existem elementos que permitam associar este aviso a perturbações dos serviços essenciais portugueses.

RELEVÂNCIA PARA A VIGILÂNCIA

Áreas: Cibersegurança · Energia · Abastecimentos

Indicadores a acompanhar:

• Novas actualizações de segurança da Siemens;
• Disponibilização de correcções para os componentes ainda afectados;
• Eventuais campanhas de exploração da vulnerabilidade;
• Alertas do CNCS ou de autoridades europeias;
• Incidentes confirmados envolvendo sistemas industriais e serviços essenciais.

O aviso constitui um sinal técnico relevante para a vigilância de vulnerabilidades industriais, sem fundamento isolado para alterar o nível de risco nacional português.

FONTE ORIGINAL

Entidade: Cybersecurity and Infrastructure Security Agency (CISA)

Documento: Siemens Industrial Edge Management — ICSA-26-316-03

Data de publicação: 12 de Novembro de 2026

Fontes complementares:

• Siemens ProductCERT — SSA-443410: Node2Shell Vulnerability in Industrial Edge Management Applications — produtos afectados, versões vulneráveis, actualizações e medidas de mitigação.
• CNCS — Recomendações de segurança para sistemas OT e equipamentos IoT — orientações nacionais para protecção de ambientes industriais e equipamentos conectados.
• NIST — CVE-2026-111497 — identificação e informação técnica da vulnerabilidade.
• Siemens — Operational Guidelines for Industrial Security — recomendações gerais de segurança industrial do fabricante.

Esta publicação constitui um registo documental de uma vulnerabilidade crítica de software industrial. A sua gravidade técnica não representa, por si só, a confirmação de exploração ou de impacto operacional.

preppers.pt

Preparação · Resiliência · Informação