Um ataque que explorou uma vulnerabilidade desconhecida em roteadores empresariais da Huawei teria sido a causa de uma interrupção nacional nas redes de telecomunicações de Luxemburgo em 23 de julho de 2025, afetando serviços móveis, fixos e de emergência por mais de três horas, conforme reportagem do jornalista Alex Martin, Editor da Recorded Future News no Reino Unido. A falha nunca foi divulgada publicamente, e nenhum identificador CVE foi registrado nos dez meses desde o incidente.
Ele ocorreu no final do expediente do dia 23 de julho de 2025. As redes 4G, 5G e de telefonia fixa da operadora estatal POST Luxembourg saíram do ar. O tráfego de rede especialmente criado pelos invasores fez com que os roteadores Huawei entrassem em um ciclo contínuo de reinicialização, derrubando partes críticas da infraestrutura da operadora.
Paul Rausch, chefe de comunicações da POST Luxembourg, confirmou à publicação que o incidente foi um ataque de negação de serviço (DoS) direcionado a um dispositivo de rede, explorando “um comportamento não público e não documentado, para o qual nenhuma correção estava disponível no momento”. Rausch afirmou que a Huawei informou à POST que nunca havia encontrado o ataque entre seus clientes e não tinha uma solução pronta.
Investigação aponta ausência de CVE público
As autoridades de Luxemburgo e a Huawei realizaram reuniões técnicas para entender o ocorrido, segundo Anne Jung, porta-voz do Alto Comissariado para a Proteção Nacional. As autoridades de segurança cibernética de Luxemburgo alertaram equipes de resposta a incidentes parceiras em toda a Europa por meio de canais governamentais estabelecidos, mas nenhum CVE foi registrado para alertar a comunidade em geral. O governo local descreveu o incidente na época como “um ataque cibernético excepcionalmente avançado e sofisticado”.
Huawei não comenta e falha permanece sem explicação
A Huawei recebeu perguntas detalhadas da Recorded Future News antes da publicação, mas não forneceu declarações em resposta. Não há evidências de que o incidente tenha se repetido, mas a falha permanece sem explicação e não foi reconhecida publicamente pela empresa. Os investigadores concluíram que não havia evidências de que o ataque tenha sido direcionado especificamente à POST Luxembourg como alvo escolhido, e nenhuma acusação criminal foi apresentada.
