A NASA não tinha fechadura no comando

O que o AIT-GUI faz na realidade

O AIT-GUI é uma variante baseada em navegador do AMMOS Instrument Toolkit da NASA, um conjunto de programas criado para ajudar engenheiros a testar, monitorizar e comandar sondas espaciais e instrumentos científicos a partir do solo. Os operadores usam-no para enviar comandos reais a hardware real, a partir de um separador do navegador, chegando ao hardware de voo e, em alguns casos, diretamente à própria sonda através da ligação da estação terrestre da missão.

Esse é o pormenor que realmente importa: isto não é um painel que apenas mostra telemetria para ser lida. É um canal de comando, uma interface de navegador construída para que uma pessoa numa estação terrestre envie uma instrução que uma sonda ou instrumento efetivamente executa, e é precisamente numa ferramenta assim que a pergunta sobre quem mais pode alcançá-la precisa de uma resposta verificada, não de uma suposição.

O que realmente faltava

As versões do AIT-GUI até à 2.5.1 inclusive vinculavam o seu listener de rede a 0.0.0.0, o endereço que aceita ligações recebidas em qualquer interface de rede de uma máquina, independentemente da configuração definida pelo operador. Além dessa vinculação, as versões afetadas não tinham autenticação nem proteção CSRF nas rotas que efetivamente alteram o estado, ou seja, as que despoletam comandos em vez de apenas mostrar dados.

A consequência decorre diretamente destas duas lacunas em conjunto. Uma página maliciosa visitada por um operador na mesma rede, ou um pedido enviado por qualquer atacante capaz de alcançar essa porta à escuta através dessa rede, podia enviar comandos diretamente ao hardware da sonda ou do instrumento ligado, sem palavra-passe, token ou verificação de sessão pelo meio. A vulnerabilidade está identificada como GHSA-p9r8-2q67-fp86 e tem uma pontuação CVSS de 9.4 em 10, o que reflete exatamente essa combinação de acessibilidade em rede, ausência de autenticação e consequência direta no hardware.

Quem mais usa software feito assim

A configuração incorreta específica do AIT-GUI, um listener de rede vinculado a todas as interfaces combinado com a ausência de autenticação nas rotas que alteram o estado, não é um defeito exclusivo do software espacial. O mesmo padrão, um listener que ignora a sua própria configuração e se liga a tudo, junto com rotas que alteram o estado e que ninguém protegeu, aparece em ferramentas de controlo industrial, software de instrumentos de laboratório e outros sistemas de estações terrestres construídos para um círculo pequeno e de confiança de operadores, e não para um produto exposto à internet.

O que torna o caso do AIT-GUI dramático não é o mecanismo, mas o objeto do outro lado. A maioria das ferramentas construídas assim, as pensadas para um único laboratório, uma única sala de controlo ou uma única estação terrestre, presume que a rede em redor já é de confiança e dispensa o trabalho de autenticação que um produto exposto à internet nunca lançaria sem. A NASA e o JPL construíram o AIT-GUI exatamente sobre essa suposição e tornaram-no open source, o que tornou a falha acessível e revisável por qualquer pessoa que descarregasse o código, mas a pergunta de fundo, quantas outras ferramentas em redes industriais e governamentais se ligam da mesma forma e não verificam quem bate à porta, este único patch não responde.

O que muda na versão 2.5.2

A NASA e o Jet Propulsion Laboratory lançaram a versão 2.5.2 do AIT-GUI a 12 de agosto de 2026, fechando os dois defeitos que tornavam a falha explorável: o listener respeita agora a vinculação configurada em vez de se ligar por omissão a todas as interfaces, e as rotas que alteram o estado passam a ter autenticação e proteção CSRF. A divulgação pública da falha ocorreu entre 18 e 20 de agosto de 2026, dando aos operadores uma janela para atualizar antes de os detalhes técnicos circularem amplamente.

Atualizar o AIT-GUI fecha exatamente esse buraco, mas o trabalho mais difícil para qualquer operador de ferramentas de estação terrestre ou industriais é a auditoria que o patch não faz por eles: verificar o que mais nessa rede se liga por omissão a todas as interfaces, o que mais presume uma rede de confiança e dispensa autenticação, e o que mais poderia transformar uma página visitada num comando enviado a hardware real. Essa auditoria, e não este único patch, é a resposta real ao que o incidente da NASA descreve.

Leia a seguir: Um PLC alemão é agora um alvo cibernético ativo  |  A moratória NIS2 da Alemanha terminou