Pesquisadores de segurança identificaram uma série de vulnerabilidades críticas em softwares de código aberto relacionados à NASA que podem permitir que um invasor envie comandos a sistemas conectados a espaçonaves sem precisar apresentar credenciais.
As descobertas envolvem diferentes componentes utilizados na construção de sistemas terrestres de suporte a missões espaciais. Entre eles estão o AMMOS Instrument Toolkit (AIT-GUI) e o F´ Ground Data System (fprime-gds).
Embora o cenário seja preocupante, é importante fazer uma distinção: as falhas estão em softwares de suporte e estações terrestres. Isso não significa que hackers tenham assumido o controle de satélites da NASA, nem há evidência pública de exploração ativa dessas vulnerabilidades.
Uma das falhas recebeu nota 9,8 de 10
Um dos casos mais graves é a CVE-2026-72577, que afeta versões do fprime-gds até a 3.4.3.
A vulnerabilidade recebeu pontuação CVSS 9,8, classificada como crítica. Segundo o registro do NVD, um invasor remoto sem autenticação pode, em determinadas condições, executar código arbitrário no computador da estação terrestre e injetar comandos destinados a sistemas conectados.
Um dos problemas está na aplicação Flask utilizada pelo software: os endpoints afetados não implementavam autenticação. Além disso, uma vulnerabilidade de path traversal poderia permitir leitura e gravação de arquivos fora do diretório previsto.
A combinação transforma uma falha aparentemente localizada em um problema muito mais sério.
Outro software também permitia comandos sem autenticação
Pesquisadores da Cycode encontraram problemas semelhantes no AIT-GUI, console web do AMMOS Instrument Toolkit.
A cadeia de vulnerabilidades foi registrada como GHSA-p9r8-2q67-fp86 e recebeu pontuação 9,4 no CVSS 3.1. As versões 2.5.1 e anteriores foram apontadas como afetadas pela pesquisa.
O AIT é utilizado para construir sistemas terrestres capazes de enviar comandos para instrumentos e espaçonaves e processar a telemetria recebida.
O problema é justamente esse: determinados endpoints responsáveis por ações críticas podiam ser alcançados sem autenticação ou autorização adequadas.
Atacante poderia enviar comandos arbitrários
De acordo com a análise, um invasor que conseguisse alcançar a porta utilizada pelo serviço poderia realizar diferentes ações.
Entre elas estavam o envio de comandos por meio do endpoint /cmd, execução de scripts no servidor e execução de sequências de comandos. A implementação também apresentava problemas relacionados à proteção contra requisições entre sites, ampliando os possíveis vetores de ataque.
O risco é muito diferente de comprometer um site convencional.
Em um sistema terrestre ligado a uma missão espacial, uma solicitação maliciosa pode potencialmente acabar sendo transformada em um comando operacional destinado a um instrumento ou sistema conectado.
Serviço podia ficar exposto em todas as interfaces de rede
Outro detalhe chamou atenção dos pesquisadores.
O servidor web do AIT-GUI podia utilizar por padrão o endereço 0.0.0.0 na porta 8080, fazendo com que o serviço escutasse conexões nas interfaces de rede disponíveis.
Ao mesmo tempo, rotas capazes de alterar o estado do sistema não exigiam autenticação, autorização ou proteção adequada contra CSRF.
Essa combinação aumenta significativamente o risco caso uma implantação seja acessível por uma rede não confiável.
Correção do AIT-GUI gera discussão
A versão 2.5.2 do AIT-GUI foi lançada em 12 de agosto com mudanças importantes. Entre elas estão restrições sobre onde o console fica disponível, verificações de origem das requisições e controles adicionais sobre os caminhos utilizados para execução de scripts e sequências.
Entretanto, uma análise posterior do código realizada pelo The Hacker News apontou que a versão 2.5.2 ainda não adicionava autenticação convencional aos endpoints de comandos, scripts e sequências.
Existe ainda divergência entre diferentes registros sobre quais versões efetivamente corrigem determinados aspectos do problema.
Isso torna especialmente importante que administradores acompanhem as orientações atualizadas dos projetos antes de considerar uma implantação totalmente protegida.
Outro componente da NASA também apresentou problema semelhante
O caso não se limita ao AIT-GUI e ao fprime-gds.
A CVE-2026-71289, divulgada em 5 de agosto, afeta uma implementação de referência do Asynchronous Network Management System (ANMS) do NASA-AMMOS.
Nesse caso, uma configuração padrão podia publicar diretamente uma API REST na rede, contornando o gateway que deveria funcionar como barreira de autenticação.
Segundo o NVD, um cliente com acesso à rede poderia enumerar agentes registrados, enviar conjuntos arbitrários de comandos e apagar relatórios armazenados sem fornecer credenciais.
O próprio registro ressalta, porém, que esses agentes podem representar nós simulados ou reais, dependendo da implantação. O componente vulnerável é uma implementação terrestre/de referência, e não necessariamente software executado diretamente dentro de uma espaçonave.
Cibersegurança espacial ganha importância
As descobertas mostram como a segurança de uma missão espacial não depende somente do software instalado em um satélite.
Estações terrestres, APIs, sistemas de telemetria, consoles administrativos e softwares utilizados para transmitir comandos também fazem parte da superfície de ataque.
A própria NASA reconhece em suas orientações que espaçonaves sem mecanismos adequados de autenticação e criptografia podem ficar expostas a problemas como injeção de comandos, falsificação de sinais e interceptação de informações.
Diretrizes da agência recomendam, inclusive, que espaçonaves autentiquem estações terrestres antes de estabelecer determinadas conexões e que comandos com consequências irreversíveis utilizem mecanismos adicionais de autenticação.
Não há evidências de espaçonaves comprometidas
Apesar da gravidade técnica das vulnerabilidades, não há indicação nas informações disponíveis de que atacantes tenham utilizado essas falhas para assumir o controle de uma missão espacial real.
Os problemas demonstram caminhos técnicos que poderiam ser explorados quando os componentes vulneráveis estivessem acessíveis e integrados a ambientes operacionais.
A descoberta, portanto, deve ser interpretada principalmente como um alerta para uma área que tende a ganhar cada vez mais importância: a segurança da infraestrutura digital que conecta a Terra às espaçonaves.
À medida que satélites, estações terrestres e sistemas de comunicação se tornam mais definidos por software, proteger essas aplicações passa a ser tão importante quanto proteger os próprios equipamentos enviados ao espaço.
