Telecom e ISPs, Outubro de 2026

Módulos mensais de referência

Estes módulos são preenchidos automaticamente com os fatos verificados e datados dentro do período. Cada um declara sua base e seu critério de contagem, para que os números se conciliem entre os módulos. Eles formam a leitura recorrente mês a mês; a análise posterior desenvolve os casos sem repetir esta síntese.

Janela dos indicadores: 49 fatos com data em outubro de 2026. Os fatos de meses anteriores são usados apenas como referência comparativa na análise, nunca como volume deste período.

Resumo executivo do mês

Outubro de 2026 deixou uma sinalização mais operacional do que técnica para telecomunicações e ISPs na América Latina: 49 fatos verificados, 17 incidentes sem tipificação, um caso de ransomware ou extorsão como eixo primário e 3 CVEs críticos mencionados. O mês foi marcado por interrupções, degradações de serviço e respostas regulatórias, com uma leitura de risco média pelo volume, pela dispersão geográfica e pela combinação de falhas de conectividade, exposição de serviços e pressão sobre infraestruturas públicas e privadas.

A maior parte dos fatos não confirmou causa de cibersegurança. Esse dado é central. Houve cortes e degradações na Argentina, Bolívia, Colômbia e Uruguai que ficaram no campo da observação técnica ou do relato de usuários, sem atribuição firme a ataques. Também apareceu uma única referência a ransomware com impacto não verificado na MCM Telecom e uma menção adicional sobre um possível comprometimento da VTR, ambas sem evidência pública suficiente para elevar o caso a incidente confirmado. Em paralelo, a região registrou atividade regulatória e de mitigação mais clara do que nos meses anteriores.

O episódio mais consistente do ponto de vista defensivo foi a família PHP, com duas vulnerabilidades críticas de execução remota de código, CVE-2026-109618 e CVE-2026-109619, que acionaram alertas da CISA, do CERT-EU, de CSIRTs nacionais e de fornecedores de segurança. Para o segmento de telecom, o foco não está apenas no software em si, mas na quantidade de serviços expostos à internet que dependem de stacks web e portais administrativos que costumam conviver com a operação de redes, atendimento ao cliente e administração de infraestrutura.

O Chile concentrou outro bloco relevante, desta vez por cumprimento e controle do ecossistema de acesso. A Subtel ordenou o bloqueio de quase 2.000 sites ligados a TV pirata e instruiu vários ISPs a executar as restrições. Não foi um caso de ciberataque, mas sim um fato de governança técnica com impacto direto sobre redes de conectividade, DNS, filtragem e coordenação com provedores. No mesmo país, também apareceu o relato de um ataque de ransomware que afetou plataformas IaaS do Ministério do Interior e Segurança Pública, o que amplia o perímetro de risco para além da conectividade pura.

O Brasil fechou o mês com dois sinais distintos. De um lado, a telemetria da NETSCOUT e os relatos da imprensa especializada reforçaram que as telecomunicações sem fio seguem entre os alvos mais castigados por DDoS. De outro, o aviso do CTIR Gov sobre a vulnerabilidade crítica em Cisco Catalyst SD-WAN Manager reforçou o problema da superfície exposta em equipamentos de rede. O mês não mostrou um padrão documentado de phishing ou fraude nesse eixo, mas manteve a pressão sobre infraestrutura, gestão de serviços e aplicações públicas expostas.

Panorama regional do mês

A sinalização regional de outubro foi de risco médio, com predominância de interrupções e degradações verificadas, mais do que de intrusões confirmadas. O volume é alto para um único mês dentro do vertical, e a dispersão geográfica, que alcança ao menos seis países ou subsegmentos documentados, obriga a ler o período como uma combinação de falhas operacionais, exposição técnica e medidas regulatórias. Não houve uma onda clara de fraude ou phishing documentada no material, mas houve uma base persistente de vulnerabilidades críticas e disponibilidade instável.

A leitura de risco não sobe para alta porque grande parte dos fatos carece de atribuição direta a ciberataque. Ainda assim, a ausência de confirmação não equivale à ausência de ameaça. Em telecomunicações, cortes, degradações e problemas de visibilidade BGP podem ser sintomas de incidentes técnicos, erros operacionais ou atividade maliciosa, e o material de outubro deixa vários casos nesse limiar ambíguo. Essa ambiguidade, por si só, é um sinal para equipes de rede, CSIRT e reguladores.

O padrão geográfico foi desigual. O Chile trouxe um bloco regulatório e um caso de ransomware ligado ao setor público, a Bolívia mostrou uma combinação de degradação BGP e uma interrupção nacional de serviços móveis na ENTEL, a Argentina somou duas interrupções de conectividade reportadas pela Voidly e um incidente de disponibilidade em torno da EdgeUno, a Colômbia registrou uma queda relevante de conectividade, o Uruguai apareceu na exposição massiva de PHP e em um episódio de resposta preventiva, e o Brasil concentrou a pressão de DDoS e o alerta de software de rede. O México, embora não entre por conectividade pura em todos os fatos, também somou sinais sobre a MCM Telecom, a Telmex e falhas de serviço na Telcel e em outras redes.

A combinação de incidentes sem tipificação e CVEs críticas sugere uma superfície mista, em que a continuidade do serviço depende tanto do estado do backbone e da interconexão quanto da aplicação de patches em software exposto e da disciplina de resposta a incidentes. O mês também mostrou maior intervenção de autoridades, seja para fiscalizar, ordenar bloqueios ou exigir mitigações. Isso deixa uma conclusão operacional clara: ISPs e teles não estão lidando apenas com disponibilidade, mas também com conformidade, reputação e dependência de terceiros.

Indicadores do período

A tabela acima reproduz os indicadores fornecidos e sua base exata. Não há telemetria agregada dentro desse total, e os incidentes sem tipificação incluem tanto interrupções quanto brechas cuja origem não ficou demonstrada no material analisado. A comparação com setembro sugere que outubro foi mais intenso em disponibilidade e menos intenso em ransomware confirmado.

Incidentes relevantes

ENTEL Bolívia e a interrupção nacional de 21 de outubro

A ENTEL ficou no centro do fato operacional mais claro do mês na Bolívia. A ATT informou que em 21 de outubro detectou uma interrupção ou degradação de serviços e abriu fiscalização para verificar causas e continuidade. A própria empresa falou em uma degradação temporária de voz móvel e internet móvel, com restabelecimento posterior, mas sem atribuir a origem do evento.

A relevância do caso não está só no alcance, mas na sequência institucional. Quando uma operadora comunica uma falha temporária e o regulador aciona fiscalização no mesmo dia, o incidente deixa de ser uma simples anomalia técnica e passa a ser uma questão de supervisão de serviço público. Isso pressiona a relação entre continuidade, transparência e prova de causa. Também obriga a separar uma degradação temporária de uma interrupção total, porque a evidência disponível descreve degradação e restabelecimento, não uma queda prolongada confirmada.

No mesmo país, outro registro datou uma degradação de visibilidade BGP em 16 de outubro. A Telecom Observer falou em cerca de 35 minutos de impacto, com a ressalva de que não houve indícios de uma interrupção generalizada do plano de dados. Esse detalhe importa. Em redes de conectividade, visibilidade BGP afetada não equivale automaticamente a queda de serviço, mas pode antecipar problemas de roteamento, convergência ou segmentação de anúncios. A coexistência dos dois fatos no mesmo mês sugere uma superfície delicada de estabilidade operacional.

Chile: bloqueio massivo de TV pirata e um ransomware sobre IaaS estatal

O Chile ofereceu dois planos distintos de sinal. O primeiro foi regulatório. A Subtel instruiu GTD, DirecTV, Entel, WOM, Mundo, ClaroVTR, Netline e Movistar a bloquear URL associadas a serviços ilegais de IPTV e streaming, com prazo de cinco dias. A autoridade vinculou a medida à segurança digital e à proteção de dados, e a cobertura posterior indicou que, até outubro, já haviam sido bloqueadas 1.954 URL, das quais 765 correspondiam a outubro.

Esse caso não descreve um incidente clássico de cibersegurança, mas sim uma intervenção técnica relevante para ISPs e teles. O bloqueio de domínios, IPs e URLs exige coordenação operacional entre regulador e provedores, além de rastreabilidade sobre o que é restringido e como a execução ocorre. Em termos de gestão de rede, o episódio mostra que os ISPs são atores de conformidade, e não apenas de transporte.

O segundo plano chileno toca o perímetro de segurança de forma mais direta. A CSIRT Telconet informou que o Ministério do Interior e Segurança Pública foi alertado pela GTD sobre um ataque de ransomware que impactou suas plataformas IaaS. A fonte não descreve o alcance da criptografia, se houve exfiltração nem quais sistemas foram afetados. Por isso, o fato segue na categoria de ransomware como eixo principal, mas a tipificação do impacto continua incompleta.

A coexistência dos dois eventos no Chile ajuda a ler o mês: de um lado, o país avança em medidas de controle sobre tráfego e conteúdo ilegal; de outro, expõe infraestrutura estatal hospedada sobre serviços que dependem de provedores de conectividade ou de nuvem. Isso coloca ISPs e operadores de infraestrutura em uma posição de intermediação crítica, na qual conformidade, hospedagem e segurança já não podem ser separadas.

Argentina: quedas de conectividade e dúvidas sobre a EdgeUno

A Argentina trouxe três peças que, juntas, descrevem um mês instável, mas não conclusivo do ponto de vista forense. A Voidly registrou duas interrupções de conectividade, uma em 21 de outubro com alerta crítico para Santa Cruz e outra em 25 de outubro com uma janela observada entre 11:05 e 16:20 UTC, com um alerta crítico associado a Río Negro. Nos dois casos, a fonte não confirmou causa nem provedor afetado.

A isso se soma o relatório da NextDNS Community sobre um ponto de presença da EdgeUno em Buenos Aires que teria ficado inacessível por cerca de 33 segundos a cada 15 minutos a partir de várias redes argentinas. A publicação sugeriu uma possível causa periódica, mas não confirmou um ataque nem uma falha do ISP. Esse tipo de observação é valioso para detecção precoce, mas não basta para tipificar um incidente de cibersegurança. O material mostra um padrão de acessibilidade degradada, não uma intrusão demonstrada.

O dado sobre a Personal, marca móvel da Telecom Argentina, acrescenta ruído, mas não certeza. Um ator de fórum clandestino afirmou ter publicado cerca de 129.000 registros atribuídos a clientes, com dados pessoais e técnicos, embora a publicação tenha esclarecido que a alegação não havia sido verificada de forma independente e que não confirmava uma intrusão. Em termos editoriais, isso não é tratado como vazamento confirmado. Ainda assim, funciona como sinal de inteligência que, se vier a ser verificado, pode mudar a leitura do mês para a operadora.

Colômbia e a exposição de PHP

A Colômbia aparece em outubro pela via de um alerta técnico, e não de uma queda confirmada de operadora. A IODA registrou uma queda significativa de conectividade entre 00:30 e 01:10 UTC em 22 de outubro, com alerta crítico para Casanare, mas sem atribuição a ciberataque nem identificação do ISP responsável. O fato segue como incidente de conectividade sem tipificação.

O outro sinal é o mais relevante para o ecossistema de ISPs e telecom na região. O ColCERT emitiu o alerta AL-20261021-123 sobre duas vulnerabilidades críticas de PHP que permitiam execução remota de código sem autenticação. A cobertura explicou que havia 8.699 serviços PHP expostos à internet na Colômbia, dos quais 7.659 estavam em redes de provedores de internet e telecomunicações, embora sem confirmar pertencimento operacional nem compromissos observados. O dado não prova intrusão, mas expõe uma superfície importante dentro do vertical.

A implicação para ISPs e teles é clara. A exposição de aplicações em PHP não costuma ficar restrita à área de desenvolvimento. Ela pode alcançar portais de clientes, painéis administrativos, sistemas de autogestão, landing pages e ferramentas internas de provedores ou integradores. Quando o alerta vem de um CSIRT e o inventário mostra milhares de serviços expostos, o problema deixa de ser um patch isolado e passa a ser uma questão de priorização de ativos críticos.

Uruguai: resposta preventiva diante de PHP

O Uruguai atravessou o mês com um perfil preventivo. O CERTuy publicou um alerta sobre CVE-2026-109618 e CVE-2026-109619, e isso motivou medidas preventivas, incluindo a desconexão temporária de portais estatais. A fonte esclarece que não houve confirmação de exploração no Uruguai. O fato não é uma brecha, mas uma resposta operacional concreta diante de risco potencial.

O valor desse caso está na reação. Em vez de esperar a confirmação de exploração, o país adotou medidas de contenção sobre serviços públicos. Ao mesmo tempo, um levantamento citado por El Observador falou em cerca de 1.500 servidores ainda vulneráveis no Uruguai, embora sem ataques confirmados. Essa combinação de alerta, desconexão temporária e exposição remanescente deixa uma mensagem incômoda para qualquer vertical com infraestrutura web extensa, o problema não é só corrigir, mas saber o que está exposto e com qual criticidade.

A IPinfo acrescentou outro sinal que não deve ser confundido com um incidente de cibersegurança, mas sim com um comportamento de rede incomum. A empresa observou que quase todos os endereços da ANTEL no sul e no leste deixaram de responder às verificações por cerca de duas horas e meia, embora a rede continuasse anunciando rotas para o restante da internet. Também registrou uma breve interrupção de um ISP regional no Brasil. Mais uma vez, o material não permite atribuir causa, mas confirma instabilidade observável.

Brasil: DDoS, SD-WAN e SMS degradados

O Brasil combinou volume, exposição e pressão sobre serviços de mensagens. A TELETIME e a TI INSIDE, com base em dados da NETSCOUT, informaram que as telecomunicações sem fio concentraram 141.400 ataques DDoS no primeiro semestre de 2026, enquanto as operadoras cabeadas registraram 27.967. Embora esses números pertençam ao semestre e não ao mês em si, o material de outubro os usa como sinal de tendência para o vertical brasileiro.

A relevância editorial do dado está no tipo de alvo. As redes sem fio aparecem como o segmento com maior volume de ataques DDoS, o que reforça uma hipótese conhecida, mas agora apoiada em material do período, a camada de conectividade móvel e seus serviços associados seguem como um alvo atraente para saturação e disrupção. Não é evidência de um ataque concreto em outubro, e sim contexto operacional que ajuda a interpretar outros fatos do mês.

Em paralelo, o CTIR Gov publicou um alerta sobre uma vulnerabilidade crítica no Cisco Catalyst SD-WAN Manager, identificada como CVE-2026-76504. A falha permite que um atacante remoto não autenticado burle a autenticação da API e obtenha acesso administrativo. Para operadoras e provedores com SD-WAN implantado, o tema não é teórico. Trata-se de um componente de administração de rede que pode estar exposto ou integrado à infraestrutura crítica de clientes.

O mesmo país somou uma degradação de SMS da Twilio para a Surf Telecom e outra entre um subconjunto de números para múltiplas redes brasileiras. Em ambos os casos, a causa não foi divulgada publicamente. Não se trata de uma brecha de telecom tradicional, mas de um exemplo de dependência de serviços de mensageria de terceiros para a experiência final do usuário. Quando um provedor de CPaaS ou mensageria apresenta atrasos, o impacto recai sobre as operadoras, mesmo que a origem não esteja em sua rede.

México: infraestrutura física, rumores de comprometimento e falhas de serviço

O México deixou um mapa misto. Por um lado, foi relatado o roubo de mil metros de cabo de cobre e fibra óptica e de placas eletrônicas em uma central telefônica da Telmex em Nopalucan, Tlaxcala. A fonte descreve o caso como roubo de infraestrutura, e não como ciberataque. Ainda assim, para um ISP ou telco, o efeito potencial sobre continuidade, manutenção e reposição é real. A fronteira entre segurança física e disponibilidade técnica ficou exposta com clareza.

Em paralelo, o El Fondo informou falhas de navegação e chamadas na Telcel, além de problemas nas redes da AT&T e da Unefon durante a mesma jornada. As empresas não emitiram posicionamento oficial no momento da publicação, e não houve confirmação de causa ligada à cibersegurança. O incidente fica na zona cinzenta entre interrupção operacional e reclamação de usuários. Para a leitura do mês, isso importa justamente por esse motivo, mostra como uma degradação de serviço pode virar ruído reputacional rapidamente, sem que ainda exista um diagnóstico público.

A dimensão de ransomware no México também permaneceu em estado incerto. A Imagen Radio afirmou que a Qilin expôs a MCM Telecom em seu site de vazamentos após o fim do prazo de negociação, mas não trouxe confirmação da empresa nem evidência forense independente. A isso se somam os registros do ransomware.mx e do NinjaLabz, que também incluem a MCM Telecom como alegação da Qilin sem descrever o incidente nem validar o material. No corpo do relatório, isso é tratado como menção em leak site sem impacto verificado, e não como criptografia confirmada.

As vulnerabilidades PHP e seu alcance operacional

Os alertas sobre PHP cruzam várias jurisdições e vários tipos de operador. Cisco, CISA, CERT-EU, ENISA, Akamai, AWS, Censys, Bitdefender, o Centro Canadense de Cibersegurança e o NCSC da Nova Zelândia coincidiram na criticidade de CVE-2026-109618 e CVE-2026-109619. A exploração ativa foi mencionada por algumas fontes, enquanto outras se concentraram em correção, alcance e versões afetadas. O mais importante para telecom não é apenas o detalhe técnico, mas o ecossistema de aplicações expostas que depende de PHP.

A combinação de inventários expostos na Colômbia e de medidas preventivas no Uruguai mostra que a ameaça não ficou restrita a um país. Em ambientes de ISP e telco, PHP costuma sustentar painéis de clientes, backoffices, integrações com faturamento, automação de provisão e portais de atendimento. Uma RCE não autenticada nessa camada pode virar rapidamente uma porta de entrada lateral. Por isso, o sinal de outubro não é uma ameaça abstrata, mas uma exposição transversal que os operadores deveriam ler junto com seu mapa de serviços web.