O pesquisador Carlo Meijer, da Midnight Blue, encontrou seis falhas de dia zero (vulnerabilidades desconhecidas pelo fabricante) de execução remota de código sem necessidade de autenticação prévia no controlador de refrigeração Danfoss AK-SM800A. Ele identificou as falhas em menos de uma hora de revisão manual do firmware. Todas as versões do firmware até a 5.3.2, inclusive, são afetadas.
Ataques contra controladores Danfoss e Copeland expostos à internet começaram na França em 11 de outubro. Uma segunda onda ocorreu em 2 de novembro. Os invasores acionaram ciclos de degelo (defrost), estragaram dezenas de milhões de euros em alimentos e, em alguns casos, provocaram incêndios.
A campanha ganhou tamanho suficiente para que a CISA (Agência de Segurança Cibernética e de Infraestrutura dos EUA) e o FBI (Federal Bureau of Investigation) alertassem para ataques contra sistemas industriais de refrigeração e de monitoramento da cadeia de frio. Isso mostra que o problema vai muito além da Europa.
Vulnerabilidades em controladores de refrigeração da Danfoss
Pesquisas anteriores já haviam revelado fragilidades nesses produtos. Synacktiv, Claroty e DIVD documentaram um contorno de autenticação conhecido como «code-of-the-day» (CVE-2025-41450), injeção de comandos do sistema operacional (CVE-2023-25915 e CVE-2025-41451) e travessia de diretórios (CVE-2023-25914), sigla de identificadores CVE (Common Vulnerabilities and Exposures). Provas de conceito (PoC, do inglês Proof of Concept) públicas de exploração surgiram em até 48 horas após os ataques na França. A Censys ainda identifica centenas de sistemas Danfoss expostos e mais de 1.000 unidades Copeland e Dixell.
Meijer emulou o firmware em espaço de usuário usando o QEMU (emulador de sistemas) e concentrou a análise na tarefa web dentro do sm_app. Esse binário monolítico executa a maior parte das funções do dispositivo.
O equipamento opera com o Danux, uma distribuição Linux personalizada baseada no Yocto, executada em um processador i.MX6. Há centenas de chamadas inseguras de strcpy localizadas em manipuladores sem autenticação. Os binários não utilizam canários de pilha nem executáveis de posição independente (PIE, na sigla em inglês), e a aplicação vulnerável roda com privilégios de root.
Uma única requisição especialmente elaborada enviada a um endpoint CGI (interface de gateway comum) sem autenticação pode provocar uma falha de segmentação. Pelo menos cinco vulnerabilidades semelhantes foram identificadas em um pequeno trecho de código.
Além disso, uma sexta vulnerabilidade foi encontrada no sm_fcgi_app, responsável pelo modo de controle de sessão «strict», que a Danfoss definiu como padrão a partir da versão 4.0.
Segundo a Midnight Blue, essa falha permite a execução de código sem autenticação mesmo com o modo strict ativado. Os detalhes específicos dos endpoints estão sendo mantidos em sigilo por causa da divulgação coordenada em andamento com a Danfoss, e os identificadores CVE ainda estão pendentes.
O impacto vai além do sabotagem dos ciclos de degelo. Os controladores não usam os recursos de inicialização segura do i.MX6, de modo que um invasor com acesso root pode instalar um implante que sobrevive a uma restauração de fábrica ou a uma atualização de firmware.
Um invasor também poderia apagar a memória flash ou enviar firmware malformado para inutilizar os dispositivos (brick), o que obrigaria a substituição física e deixaria freezers indisponíveis por dias. Os pesquisadores comparam esse cenário ao ataque contra a rede elétrica polonesa em dezembro de 2025.
As descobertas também enfraquecem o valor das certificações de conformidade. As unidades de negócios da Danfoss possuem a certificação IEC 62443-4-1 (Comissão Eletrotécnica Internacional), voltada ao desenvolvimento seguro de produtos, mas o código não tem mitigações básicas contra exploração. O problema não é exclusivo da Danfoss, como mostram as 23 vulnerabilidades divulgadas recentemente nos controladores Copeland XWEB Pro, que podem dar a invasores acesso root.
Os pesquisadores defendem que aplicar correções e adotar controle de sessão strict são medidas de pouco retorno diante de recursos de segurança limitados. Os proprietários dos ativos devem, antes de tudo, localizar todos os controladores expostos, inclusive os que estão atrás de modems 4G de integradores de sistemas.
Em seguida, devem restringir o acesso de gerenciamento a uma VPN (rede privada virtual), a um APN privado (Access Point Name) ou a listas de IPs bem definidas. A CERT-FR (centro de resposta a incidentes da França) considera as listas de permissão uma medida provisória, por causa da deriva de configuração.
