Setor público e órgãos governamentais, Outubro de 2026

Módulos mensais de referência

Estes módulos são preenchidos automaticamente com os fatos verificados com data dentro do período. Cada um declara sua base e seu critério de contagem, para que os números se conciliem entre os módulos. São a leitura recorrente mês a mês; a análise posterior desenvolve os casos sem repetir esta síntese.

Janela dos indicadores: 69 fatos com data em outubro de 2026 · 1 de meses anteriores (marco comparativo, não volume do mês) · 5 sem data confirmada (excluídos dos indicadores). Os fatos de meses anteriores são usados apenas como marco comparativo na análise, nunca como volume deste período.

Resumo executivo

O período analisado foi dominado por um padrão regional: vulnerabilidades críticas em PHP, com exploração potencial ou confirmada, levaram vários órgãos públicos e administrações locais a adotar medidas preventivas, tirar portais do ar ou acelerar correções. A novidade não foi apenas técnica. Também ficou evidente a convergência entre exposição histórica de serviços, más práticas de segmentação e dependência persistente de plataformas de terceiros para funções administrativas essenciais. Em termos operacionais, o mês deixou um recado claro para as equipes de segurança do setor público: quando uma falha atinge uma tecnologia transversal e de uso massivo, o impacto se espalha rapidamente dos servidores para os serviços ao cidadão.

Em paralelo, ganharam destaque duas histórias de natureza distinta, mas com o mesmo pano de fundo de governança. Na Bolívia, a Fiscalía General abriu uma investigação sobre o sistema Roma diante da suspeita de vazamento de informações reservadas vinculadas a Sebastián Marset, com declarações públicas que apontaram tanto para possíveis servidores externos quanto para a necessidade de uma auditoria completa do ecossistema. No Brasil, a exposição do programa Smart Sampa acionou respostas regulatórias e administrativas, incluindo uma solicitação formal da ANPD à Prefeitura de São Paulo, enquanto a administração municipal sustentou que o caso não correspondia a um ataque cibernético convencional, mas à divulgação de dados por um servidor autorizado. Essa diferença de narrativa é relevante. No setor público, o problema nem sempre é um adversário externo, às vezes é o abuso de privilégios, a falta de rastreabilidade ou a ausência de controles mais finos sobre acessos legítimos.

A terceira linha do período foi a reação institucional. O Chile anunciou seu primeiro Exercício Nacional de Cibersegurança e reportou 324 incidentes de efeito significativo no primeiro semestre de 2026, o que ajuda a contextualizar uma maturidade regulatória que começa a incorporar simulação, coordenação interinstitucional e notificação. O Peru, por sua vez, ativou medidas preventivas diante das duas vulnerabilidades de PHP e ampliou o alerta para 1.510 entidades públicas, mostrando uma abordagem de alcance nacional. O Uruguai retirou temporariamente portais de órgãos públicos enquanto as atualizações eram feitas, em uma decisão defensiva que priorizou continuidade e prudência em vez de disponibilidade imediata. A Colômbia, por fim, publicou um alerta sobre o risco associado a serviços PHP expostos à Internet e reforçou o debate sobre a exposição massiva de infraestrutura visível na rede.

A leitura regional que esse conjunto de eventos deixa é dupla. Primeiro, o setor público continua exposto pela combinação de software comum, ciclos lentos de atualização e superfícies de ataque heterogêneas entre ministérios, municípios, tribunais, portais de atendimento e fornecedores tecnológicos. Segundo, a gestão de risco já não pode depender apenas da detecção de uma intrusão consumada. Boa parte das respostas mais eficazes do mês foi acionada antes da confirmação de exploração, com medidas de contenção, reavaliação da exposição e comunicação pública. Para um CISO governamental, a lição é clara: inventariar com precisão, acelerar a aplicação de patches, limitar a exposição externa e revisar privilégios de usuários internos são controles de primeira linha, não tarefas acessórias.

Panorama

O mês consolidou uma tendência que já vinha aparecendo em períodos anteriores: uma única falha de software pode afetar ao mesmo tempo governos nacionais, administrações locais e fornecedores que prestam serviços críticos ao Estado. O caso PHP2Shell foi o eixo técnico mais visível. Os avisos de órgãos oficiais e centros de cibersegurança descreveram duas vulnerabilidades críticas de execução remota de código sem autenticação, identificadas como CVE-2026-109618 e CVE-2026-109619, com versões corrigidas publicadas em 21 de outubro. As informações disponíveis mostram uma resposta internacional coordenada, mas também heterogênea, com algumas instituições derrubando portais, outras pedindo inventários urgentes e outras apenas recomendando atualização.

A exposição não ficou restrita a uma categoria de organização. Houve sinais de impacto em portais de governos locais de várias províncias argentinas, em sites públicos uruguaios, em plataformas e sistemas estatais peruanos e em domínios governamentais colombianos. No Brasil, a exposição de credenciais do sistema Smart Sampa disparou um ciclo de resposta regulatória, administrativa e midiática, embora o caso siga outra lógica: aqui não se trata de uma vulnerabilidade global de software, e sim da gestão de acessos e de informação sensível dentro de um programa de monitoramento urbano. Essa diferença importa porque evita misturar incidentes de natureza distinta e ajuda a calibrar melhor as defesas.

Também emergiu um segundo padrão: a transparência institucional foi parcial e, em alguns casos, tardia. A narrativa pública sobre Smart Sampa oscilou entre "invasão", "exposição" e "divulgação por um usuário autorizado", o que obriga a separar com cuidado o que foi confirmado do que foi interpretado. Na Bolívia, a investigação sobre Roma ficou atravessada por afirmações cruzadas, pedidos de auditoria e possíveis mudanças de identidade institucional. No Paraguai, a discussão sobre o sistema digital estatal e os apontamentos sobre atores vinculados à China permaneceram em um terreno de atribuição e geopolítica no qual a evidência pública não basta para transformar todas as alegações em fatos fechados. O resultado é um cenário em que a cibersegurança pública se cruza com política, regulação, cadeia de suprimentos tecnológica e percepção social.

Do ponto de vista operacional, o mês também reforça um alerta clássico: os portais visíveis na Internet continuam sendo a porta de entrada mais provável para a interrupção de serviços, mesmo quando a exploração não está confirmada. Os alertas sobre PHP não mencionaram apenas o risco teórico. Várias coberturas técnicas indicaram atividade real de exploração, o que justifica que os órgãos públicos tratem as atualizações como urgentes, e não como manutenção de rotina. Para equipes de segurança e tecnologia do Estado, a mensagem é menos glamourosa do que a de uma intrusão sofisticada, mas mais útil: se um componente amplamente implantado já tem correções disponíveis, o tempo de exposição não é um detalhe administrativo, e sim um fator direto de risco.

Indicadores

• Incidentes confirmados com impacto operacional ou regulatório no período: 6
• Países com fatos relevantes no período: 7
• Vulnerabilidades críticas de PHP mencionadas no período: 2
• Versões corrigidas publicadas: 4
• Entidades públicas alertadas diretamente no Peru: 1.510
• Responsáveis por segurança e tecnologia alertados no Peru: aproximadamente 2.400
• Incidentes de efeito significativo registrados no Chile no primeiro semestre de 2026: 324

As cifras anteriores devem ser lidas com cautela metodológica. Os "incidentes confirmados com impacto operacional ou regulatório" incluem tanto interrupções de serviços quanto aberturas de investigação ou exigências regulatórias, desde que o material permita verificar um fato concreto e não apenas uma suspeita. Eles não devem ser confundidos com telemetria da internet, nem com menções jornalísticas de exposição que não comprovem intrusão bem-sucedida. Em particular, a cifra de países resume a presença de fatos relevantes, não a intensidade nem a severidade homogênea.

Incidentes

Argentina: interrupções locais, correções urgentes e um ecossistema municipal dependente de um fornecedor

O caso argentino foi um dos mais complexos do período, porque combinou dois planos distintos, a onda de interrupções que afetou municípios de várias províncias por meio da plataforma PGM, da Program Consultores S.A., e o debate sobre como o Estado respondeu à vulnerabilidade PHP2Shell em seus próprios sistemas. Essa coexistência não deve ser lida como um único incidente. Ela funciona como lembrete de que ambientes públicos dependem ao mesmo tempo de terceiros e de software aberto, o que amplia o risco sistêmico.

Segundo a cobertura de 23 de outubro, a interrupção ligada ao PGM atingiu sistemas de administrações locais de Córdoba, Santa Fe, Santa Cruz, San Luis e Corrientes. Outras notas descreveram o episódio como um ataque cibernético que tirou do ar portais de serviços, arrecadação e serviços digitais usados por municípios de várias províncias argentinas. A fonte não confirma se o impacto decorreu de criptografia de ativos, exfiltração de dados ou apenas indisponibilidade, embora alguns relatos o tenham descrito como ransomware. Em uma leitura conservadora, o verificável é que houve interrupção de serviços municipais e que a plataforma de gestão administrativa e tributária de um fornecedor ficou no centro do episódio.

A leitura operacional é importante. Quando uma plataforma de gestão compartilhada concentra trâmites, arrecadação e serviços digitais de muitos municípios, uma falha ou comprometimento gera efeito cascata. Governos locais costumam ter capacidade limitada para substituir rapidamente esse tipo de ferramenta. Por isso, a continuidade depende de planos alternativos que raramente estão tão maduros quanto os sistemas principais. Nesses cenários, a pergunta crítica não é apenas se houve ataque, mas quanto tempo as unidades podem operar sem o sistema, quais processos seguem manuais e quais dados ficam inacessíveis ou expostos.

No mesmo país, uma análise jornalística afirmou que órgãos estatais, entre eles Argentina.gob.ar e os ministérios da Saúde e da Economia, aplicaram medidas recomendadas pelo CERT argentino diante da PHP2Shell, embora a informação tenha sido atribuída a Ariel Cessario, ex-coordenador do CERT nacional, e por isso deva ser lida como dado indireto. A base técnica é sólida. CISA, o Centro Canadense de Cibersegurança e vários análises independentes descreveram as falhas como execução remota de código sem autenticação e recomendaram atualização imediata. Também foram publicadas versões corrigidas. Isso indica que a resposta preventiva argentina foi consistente com o consenso técnico internacional, embora o material disponível não permita medir com precisão quantos órgãos seguiram a recomendação nem com que velocidade.

Para um CISO do setor público argentino, a lição é dupla. Primeiro, fornecedores de software municipal devem estar dentro do perímetro de risco, não fora dele. Segundo, a resposta a vulnerabilidades críticas em software transversal exige inventário de versões, segmentação de serviços expostos, procedimento de contingência e comunicação coordenada com autoridades locais. Um portal fora do ar pode ser menos danoso que um sistema comprometido. Por isso, quando a capacidade de análise é insuficiente, a contenção temporária pode ser a melhor decisão. O mês deixou claro que disponibilidade sem controle é uma falsa vitória.

Bolívia: investigação sobre Roma, debate sobre acesso interno e necessidade de auditoria completa

Na Bolívia, a Procuradoria-Geral abriu investigação sobre o sistema Roma diante da suspeita de que informações reservadas ligadas a Sebastián Marset teriam vazado. O procurador-geral interino José Armando Urioste anunciou uma revisão técnica do ecossistema informático e mencionou a possibilidade de que o acesso à informação reservada tenha ocorrido por meio de servidores localizados fora das instalações da Procuradoria. A forma como o caso foi comunicado importa. Não houve afirmação pública de uma intrusão externa como fato fechado. Foi aberta uma linha de investigação técnica e reconhecida a necessidade de avaliar diferentes vetores.

Essa cautela não reduz a gravidade do episódio. Quando uma plataforma institucional concentra dados sensíveis e surgem dúvidas sobre a origem do acesso a essa informação, o problema vai além de uma falha técnica pontual. Neste caso, as publicações consultadas trouxeram versões que falaram em possível vazamento, pedidos de auditoria total e até menções ao controle institucional do sistema e ao seu nível de certificação. O advogado Luis Fernando Zegarra pediu uma auditoria informática total e defendeu que também se investigasse um possível acesso irregular autorizado de dentro, sem descartar nem confirmar uma intrusão externa. A observação é central, porque muitos incidentes de alto impacto no setor público não têm uma única causa. Às vezes, eles combinam excesso de privilégios, má segregação de funções e rastreabilidade insuficiente.

A nota da Red Uno também indicou que a nova administração considerava retirar a denominação ROMA da identidade institucional, enquanto a Vision360 informou que eram apuradas denúncias sobre conexões com servidores externos e que o desenvolvedor do sistema negou uma penetração por parte do crime organizado. Essa diversidade de relatos mostra um traço típico de incidentes sensíveis no Estado. A dimensão reputacional pode ultrapassar a técnica. Mudar o nome de um sistema não resolve, por si só, os riscos de exposição, mas pode fazer parte de uma estratégia de reposicionamento institucional se vier acompanhada de auditoria, reforço de controles e depuração de acessos.

A leitura de fundo é que a cibersegurança pública na Bolívia não pode se limitar a verificar perímetros. Quando o próprio debate gira em torno de servidores externos, acessos internos, certificação e governança do sistema, a resposta correta é uma auditoria completa do ciclo de vida, quem administra, quem pode ler, quem pode exportar, onde os registros são armazenados, quais controles de integridade existem e como cada ação é auditada. Para um CISO governamental, o incidente lembra que dados reservados não são protegidos apenas por infraestrutura. Eles dependem de processos e de vigilância sobre usuários privilegiados.

Brasil: Smart Sampa, exposição de credenciais e resposta regulatória

O caso Smart Sampa foi o mais visível no Brasil durante o período, não tanto por um ataque tradicional, mas pela combinação de exposição de credenciais, questionamentos regulatórios e disputa sobre a origem do acesso. A ANPD solicitou informações à Prefeitura de São Paulo sobre a exposição ligada ao programa e concedeu cinco dias úteis para resposta. Essa intervenção do regulador marca um limite importante. O caso deixou de ser apenas uma controvérsia administrativa ou midiática e passou para uma fase formal de avaliação sobre tratamento de informação e responsabilidades.

As fontes consultadas descrevem vários elementos. Primeiro, a Prefeitura de São Paulo afastou um servidor público acusado pela própria administração municipal de vazar dados do programa de monitoramento Smart Sampa. Segundo, a gestão afirmou que o caso não resultou de um ataque cibernético convencional, mas da divulgação de informações por um servidor autorizado. Terceiro, o UOL informou que a ANPD recebeu um pedido de investigação sobre a exposição de informações do sistema em um repositório público na internet. Quarto, a CNN Brasil relatou uma exposição de cerca de 11 meses que teria incluído credenciais, dados de mais de 58.000 câmeras, informações de mais de 6.000 agentes e instruções para reproduzir o acesso ao sistema, embora a própria cobertura tenha usado o termo invasão, o que recomenda cautela ao interpretar essa caracterização diante da versão municipal. Mais tarde, o Estadão informou, citando um especialista em segurança digital, que credenciais poderiam estar disponíveis desde 2024, embora essa afirmação dependa da autenticidade e da data das credenciais analisadas.

Também foi reportado que a Prefeitura implementaria reconhecimento facial e autenticação de dois fatores para usuários autorizados do Smart Sampa após a exposição de credenciais. Além disso, o Ministério Público registrou uma notícia de fato para avaliar o caso. Isso sugere uma resposta em múltiplas camadas, correção técnica, reforço de autenticação e revisão institucional. Tecnicamente, o caso ilustra um risco recorrente em sistemas de segurança urbana. Os controles de acesso precisam ser desenhados não apenas para evitar intrusões externas, mas para minimizar o dano que uma credencial vazada, reutilizada ou compartilhada de forma indevida pode causar.

A lição para CISOs e responsáveis por proteção de dados é clara. Quando um sistema concentra informações operacionais sobre câmeras, agentes ou monitoramento urbano, o acesso deve estar sujeito a menor privilégio, autenticação forte, monitoramento de anomalias e auditoria de exportações. A simples existência de um repositório público de credenciais, mesmo sem prova de exploração em massa, já é um problema sério de governança da informação. Além disso, a divergência entre exposição, vazamento e invasão mostra que organizações públicas precisam preparar mensagens precisas para não comprometer a confiança nem agravar a confusão.

Chile: resposta institucional, exercício nacional e desconexão prolongada de uma usina solar

O Chile apresentou duas histórias complementares, uma de preparação institucional e outra de impacto operacional em infraestrutura energética. De um lado, a Agência Nacional de Cibersegurança informou que, no primeiro semestre de 2026, foram registrados 324 incidentes de efeito significativo e anunciou a realização do primeiro Exercício Nacional de Cibersegurança em 29 de outubro. A Provectis e a UCISO indicaram que o exercício teria formato Capture The Flag, seria on-line e incluiria desafios técnicos de diferentes categorias, com participação individual ou em equipe. A Defesa.com contextualizou a iniciativa dentro da obrigação de notificação aplicável a prestadores de serviços essenciais e Operadores de Importância Vital. Essa convergência de fontes mostra um país que está institucionalizando práticas de preparação e avaliação de capacidades.

De outro lado, o Coordenador Elétrico Nacional registrou que o parque solar Huatacondo e seu sistema de armazenamento BESS continuavam desconectados do Sistema Elétrico Nacional, com disponibilidade de 0%, após um incidente que o órgão identificou como um ciberataque ocorrido em 27 de agosto de 2026. O Diário Financiero informou ainda que o registro do Coordenador consignou a desconexão do transformador TR1 220/23 kV da subestação Santa Rita, infraestrutura de conexão de Huatacondo, sob uma solicitação de desconexão forçada distinta. A SolarQuarter acrescentou que não haviam sido divulgados a identidade dos atacantes, as técnicas de acesso nem a existência de pedidos de resgate, e que o transformador de Santa Rita teria sido afetado.

Do ponto de vista analítico, o caso é útil porque combina energia, continuidade operacional e cibersegurança sem simplificações. A indisponibilidade prolongada de uma usina fotovoltaica e de seu BESS não implica automaticamente um cenário confirmado de ransomware. O que ele mostra é que os efeitos de um ciberataque em infraestrutura crítica podem se estender por meses e afetar componentes relacionados, não apenas o ativo principal. Para equipes do setor público e reguladores, a mensagem é que a segurança da infraestrutura crítica não se resolve só com alertas de software. Também são necessários planos de recuperação, segmentação de sistemas de controle e coordenação entre operadores, reguladores e órgãos de resposta.

Em termos regionais, o Chile aparece como um dos países que melhor articula resposta preventiva com planejamento de exercícios, mas o caso Huatacondo mostra que a preparação não elimina a possibilidade de danos duradouros. O valor do exercício nacional será limitado se não se traduzir depois em melhorias concretas de inventário, restauração e coordenação entre o mundo de TI e o de OT. Para um CISO público, a recomendação é tratar continuidade como uma capacidade demonstrável. Não basta dizer que ela existe. É preciso prová-la.

Colômbia: exposição de serviços PHP, alerta do ColCERT e leitura prudente do risco

A Colômbia não registrou no material analisado uma intrusão confirmada contra uma entidade pública, mas houve uma ampla exposição de serviços PHP e um alerta oficial sobre o risco associado. O ColCERT publicou o alerta AL-20261021-123 e classificou como alto o risco ligado a duas vulnerabilidades críticas de execução remota de código em serviços PHP expostos à internet. Ao mesmo tempo, contabilizou 8.699 serviços com PHP expostos à internet no país. Uma cobertura técnica posterior indicou que cerca de 88% estavam em redes de operadores. Esse número mede exposição, não comprometimento, e portanto não deve ser interpretado como quantidade de vítimas ou de sistemas violados.

A discussão pública ganhou força quando uma investigação citada pela Colombia One identificou cerca de 170 registros de servidores associados a domínios governamentais colombianos que anunciavam PHP, embora sem confirmar um ataque bem-sucedido contra uma instituição governamental. O Impacto TIC, por sua vez, atribuiu a uma análise da Hyperconectado a identificação de servidores .gov.co ligados a hospitais, ministérios e prefeituras que executariam versões do PHP com mais de 15 anos de idade. Também nesse caso não há confirmação de intrusão, mas existe um sinal importante sobre obsolescência tecnológica em ambientes públicos.

A natureza do caso exige uma leitura disciplinada. O fato de uma superfície de exposição ser grande não significa que toda ela esteja comprometida, mas indica um universo prioritário para revisão. No setor público colombiano, a combinação de portais expostos, versões antigas e ecossistemas híbridos com operadoras de telecomunicações e provedores de hospedagem obriga a separar gestão de risco de percepção midiática. A autoridade técnica já fez sua parte ao alertar. Agora cabe às entidades mapear versões, identificar serviços críticos e aplicar patches ou restringir o acesso externo quando não for possível atualizar de imediato.

Para os CISOs, a recomendação concreta é aplicar uma tríade mínima, inventário de servidores, verificação de versões e segmentação de serviços expostos. No curto prazo, se a atualização não for possível, a redução da superfície externa deve ser a resposta prioritária. No médio prazo, o problema colombiano não é apenas PHP, mas a obsolescência persistente em domínios institucionais e a dependência de infraestruturas que nem sempre estão sob controle direto do órgão dono do serviço.

Paraguai: sanções chinesas, debate sobre atribuição e cibersegurança como disputa geopolítica

O caso paraguaio foi atravessado pela política internacional tanto quanto pela cibersegurança. A China anunciou contramedidas contra o ministro paraguaio de Tecnologias da Informação e Comunicação, Gustavo Villate, acusando-o de difundir desinformação sobre supostos ciberataques chineses. A medida foi apresentada por Pequim como resposta ligada às suas relações com Taiwan. A Associated Press informou que as sanções ocorreram depois de Paraguai e da embaixada americana afirmarem, em julho, que ataques ligados ao governo chinês haviam comprometido sistemas estatais paraguaios. A China rejeitou a acusação.

O próprio Villate respondeu que o Paraguai decide soberanamente os critérios técnicos e de segurança nacional de sua infraestrutura digital, e que nenhuma sanção externa vai condicionar essas decisões. A LatinAmerican Post destacou que os relatórios de 2024 e julho de 2026 descrevem descobertas separadas de atores ligados à China, mas não provam uma intrusão ininterrupta. A publicação também observou que a atribuição técnica, por si só, não demonstra quem ordenou uma operação. Essa precisão é importante porque evita transformar hipóteses de atribuição em certezas políticas.

Em paralelo, o MITIC publicou, junto ao governo dos Estados Unidos, uma declaração conjunta sobre operações cibernéticas maliciosas ligadas à China e direcionadas a instituições do Estado paraguaio. A TEDIC, por sua vez, afirmou não haver registro público de que determinadas vulnerabilidades identificadas em componentes tecnológicos do sistema eleitoral paraguaio tivessem sido corrigidas antes de 4 de outubro de 2026. Essa observação não confirma um novo incidente no período, mas mostra que parte da discussão sobre segurança estatal no Paraguai segue aberta e que a correção de vulnerabilidades nem sempre é transparente ou verificável publicamente.

A implicação para o setor público é dupla. Primeiro, a cibersegurança pode ser instrumentalizada em disputas diplomáticas, o que exige precisão técnica e prudência narrativa. Segundo, mesmo quando a atribuição é contestada, a modernização da infraestrutura digital não pode esperar consenso geopolítico. Para os responsáveis por segurança, a defesa do sistema deve continuar independentemente da disputa externa, com segmentação, revisão de acessos, auditoria e coordenação com parceiros de confiança.

Peru: alerta nacional sobre PHP e resposta coordenada no setor público

O Peru ativou uma resposta institucional ampla diante das duas vulnerabilidades críticas de PHP. O CNSD informou que avaliava os serviços digitais do Estado para identificar sistemas expostos e prestar assistência técnica a entidades dos três níveis de governo. Em paralelo, o Centro Nacional de Segurança Digital da Presidência do Conselho de Ministros alertou cerca de 2.400 responsáveis por segurança e tecnologia de 1.510 entidades públicas e recomendou aplicar os patches disponíveis. Essa escala de notificação mostra um esforço nacional de grande alcance e com foco explícito em continuidade operacional.

A cobertura técnica e jornalística também indicou que o governo peruano ativou medidas preventivas, recomendando verificar versões de PHP, instalar as atualizações correspondentes e reforçar a vigilância dos sistemas conectados à internet. A República informou que o CNSD havia alertado sobre tentativas de exploração das vulnerabilidades PHP2Shell, mas a cobertura não identificou entidades públicas peruanas comprometidas nem confirmou acessos bem-sucedidos. Esse detalhe é central. O país agiu diante do risco de exploração, não diante de um comprometimento confirmado do Estado.

Do ponto de vista operacional, a resposta peruana é provavelmente uma das mais claras do período. Não só houve alerta, como ele foi acompanhado de um universo concreto de responsáveis e entidades. Isso importa porque, no setor público, alertas genéricos costumam se perder na cadeia hierárquica. Quando a comunicação técnica chega a milhares de responsáveis e se traduz em recomendações concretas, a probabilidade de ação aumenta. Ainda assim, o verdadeiro desafio não é enviar o aviso, e sim verificar o cumprimento, registrar exceções e priorizar os sistemas mais expostos.

A lição para CISOs é que a governança de patches precisa ser mensurável. Não basta recomendar atualização. É preciso saber quem recebeu o aviso, quem executou, em quanto tempo e com que impacto sobre serviços ao cidadão. O Peru mostrou uma estrutura de coordenação valiosa. O passo seguinte é transformá-la em rastreabilidade operacional e métricas de remediação.

Uruguai: portais fora do ar como medida preventiva

O Uruguai aparece no material como um caso de contenção preventiva. A interrupção temporária de sites de órgãos públicos respondeu a um alerta internacional sobre duas vulnerabilidades críticas em PHP e à decisão do CERTuy de retirar portais de serviço enquanto eram feitas atualizações. O Observador indicou que portais de ministérios e outros serviços digitais do Estado ficaram temporariamente fora do ar como medida preventiva, sem confirmação pública de exploração bem-sucedida da vulnerabilidade no Uruguai.

A decisão pode parecer drástica, mas, no contexto, é razoável. Quando um serviço público depende de software exposto à internet e há risco de execução remota de código sem autenticação, a opção de desconectar temporariamente pode ser preferível a deixar um sistema potencialmente vulnerável no ar. O custo político de uma queda controlada pode ser menor do que o de uma intrusão com impacto sobre dados ou integridade dos serviços. A cobertura consultada não informa sobre roubo de dados, criptografia ou exfiltração. Portanto, o fato relevante é a indisponibilidade preventiva, não uma exploração confirmada.

Esse caso oferece um sinal útil para a região. CERTs e CSIRTs podem ganhar legitimidade quando priorizam ações preventivas e explicam com clareza por que elas são tomadas. A transparência sobre o motivo da desconexão ajuda a evitar especulações e sustenta a confiança pública. Para um CISO, o exemplo uruguaio lembra que continuidade nem sempre significa manter tudo no ar. Às vezes, significa desligar a tempo para preservar o serviço no médio prazo.