A maioria das PMEs depende de sistemas de energia ininterrupta (UPS) para manter servidores e equipamentos críticos a funcionar durante falhas eléctricas. No entanto, o software que gere essas UPS pode ser a porta de entrada para atacantes. Recentemente, foram descobertas vulnerabilidades em UPS empresariais que permitem a manipulação de ficheiros, acesso não autorizado e até a interrupção de serviços — e a correção é mais simples do que parece.
O software que mantém os seus servidores ligados — e as vulnerabilidades em UPS empresariais que o podem deitar abaixo
O PowerChute Serial Shutdown, da Schneider Electric, é uma ferramenta instalada em servidores para os desligar de forma segura quando a UPS deteta uma falha de energia prolongada. Pense nele como o “piloto automático” que evita que uma quebra de corrente queime os seus dados ou danifique o hardware. Mas, como qualquer software, tem linhas de código que podem ser exploradas.
O alerta de segurança ICSA-26-190-02, emitido pela CISA (a agência americana de cibersegurança), revela um conjunto de falhas que, em conjunto, permitem a um atacante fazer coisas como: substituir ficheiros legítimos do sistema por versões maliciosas (path traversal), injetar comandos através de campos de entrada mal validados (CRLF injection), esgotar os recursos do servidor até o deixar inoperacional (denial of service) ou até ler informações sensíveis que ficaram registadas nos logs. Tudo isto sem precisar de acesso físico à UPS — basta que o software esteja acessível na rede interna.
Na prática, um atacante que consiga explorar estas vulnerabilidades pode, por exemplo, desligar servidores de forma abrupta durante um pico de produção, corromper bases de dados ou usar o sistema como trampolim para chegar a outros equipamentos da empresa. O impacto económico é direto: horas de paragem, perda de faturação e custos de recuperação que uma PME dificilmente consegue absorver.
O que diferencia estas vulnerabilidades de outras ameaças
Até agora, a maioria das PMEs olhava para a UPS como um eletrodoméstico: compra-se, liga-se e esquece-se. A segurança concentrava-se na firewall, no antivírus e nas atualizações do Windows. O PowerChute Serial Shutdown, por ser um software de fabricante, raramente entrava no radar das equipas de IT — que, nas PME, muitas vezes é uma só pessoa ou um prestador externo.
Estas vulnerabilidades são diferentes porque atacam um ponto cego: a camada de gestão da infraestrutura física. Não é preciso um ataque de phishing sofisticado; basta que o software esteja numa versão desatualizada (a falha afeta versões até à 1.4) e que um dispositivo na rede consiga comunicar com ele. O próprio aviso da CISA classifica o risco como “exploração bem-sucedida com impacto elevado” e atribui uma pontuação CVSS de 6.1 — um valor que, para sistemas críticos, acende todos os alertas.
Além disso, a diversidade de vetores de ataque (sete CVE diferentes, incluindo CVE-2026-2399 para path traversal e outras para consumo descontrolado de recursos) torna a correção urgente. Não se trata de uma falha isolada, mas de uma combinação que amplifica o dano potencial.
O que isto significa para PMEs portuguesas
Em Portugal, muitas PMEs industriais, de logística ou de serviços gerem os seus próprios servidores em salas técnicas improvisadas — sem monitorização 24/7 e com orçamentos de segurança reduzidos. Uma UPS Schneider Electric é uma escolha comum, precisamente por ser uma marca de confiança. O problema é que a instalação do PowerChute Serial Shutdown muitas vezes é feita uma vez e nunca mais atualizada.
Se a sua empresa tem um servidor com este software, o risco não é teórico. Um atacante com acesso à rede local (por exemplo, através de um dispositivo IoT comprometido ou de uma rede Wi-Fi mal segmentada) pode explorar as falhas para parar o seu negócio. O custo de uma hora de inatividade para uma PME de 20 colaboradores pode ultrapassar os 500€, sem contar com a perda de confiança de clientes. A atualização para a versão corrigida, por outro lado, demora menos de 30 minutos e não exige conhecimentos especializados — basta seguir o boletim de segurança do fabricante.
Para empresas que dependem de sistemas de faturação, gestão de stocks ou CRM alojados localmente, a proteção da UPS é tão importante como a do próprio software de gestão. Uma consultoria estratégica em segurança digital pode ajudar a mapear estes riscos ocultos e a definir prioridades de atualização, mas a ação imediata está ao alcance de qualquer responsável de IT: verificar a versão do PowerChute e aplicar o patch.
O erro que a maioria comete
O erro clássico é tratar a UPS como um equipamento isolado, sem ligação à rede ou à segurança informática. Muitas PMEs assumem que, por estar na sala dos servidores, o software de gestão da UPS está protegido. Na realidade, o PowerChute Serial Shutdown comunica por rede e, se não for atualizado, torna-se um alvo fácil. Outro erro frequente é adiar patches de fabricantes de hardware porque “não são tão críticos como os do sistema operativo”. Resultado: uma porta aberta durante meses, à espera de ser explorada.
Riscos e limitações
Estas vulnerabilidades não afetam todas as UPS Schneider Electric, apenas as que usam o PowerChute Serial Shutdown até à versão 1.4. Se a sua empresa utiliza outro software de gestão ou uma UPS de outra marca, o risco não se aplica diretamente — mas o princípio mantém-se: qualquer dispositivo ligado à rede deve ser atualizado. Além disso, a exploração exige acesso à rede local, o que reduz o risco para empresas com segmentação de rede e políticas de acesso restritas. Para PMEs com redes planas (onde todos os dispositivos se veem uns aos outros), o perigo é real e imediato. A correção é simples, mas não resolve outros problemas de segurança que possam existir na infraestrutura — é um remendo, não uma solução completa.
Veredito Descomplicar®
Se a sua PME tem uma UPS Schneider Electric com o PowerChute Serial Shutdown, atualize já. Não espere pelo “dia em que acontece”. A atualização é gratuita, rápida e elimina um risco que pode custar milhares de euros em paragens. Se não tem a certeza do que está instalado, peça a um técnico para verificar — ou aproveite para rever todo o plano de continuidade de negócio. A segurança da infraestrutura física é muitas vezes a mais negligenciada, mas também a mais fácil de corrigir quando se age a tempo. Para um diagnóstico mais completo, um guia como o de cibersegurança para negócios digitais pode ser o ponto de partida para blindar a sua operação.