Equipamentos lançados há décadas ainda são usados em ambientes de produção em 2026, segundo relatos de administradores de sistemas. Entre os casos estão uma máquina industrial controlada pelo Windows NT 3.1, computadores com MS-DOS 6.2, roteadores Cisco dos anos 1990 e um Pentium de 166 MHz com Windows 98 responsável pelo aquecimento de um hotel.
Os exemplos surgiram em uma discussão sobre o dispositivo mais antigo ainda em operação. A lista também inclui uma impressora conectada à rede de um escritório com Linux 2.4.36, versão lançada em 1º de janeiro de 2008. O equipamento eventualmente recebe impressões com PHI protegida pela HIPAA, legislação americana sobre informações de saúde.
A idade do sistema operacional, porém, não basta para avaliar o risco de um ambiente. Seria necessário conhecer a configuração da impressora, os dados armazenados e as medidas de segurança adotadas. O Departamento de Saúde e Serviços Humanos dos Estados Unidos exige salvaguardas administrativas, físicas e técnicas para proteger informações eletrônicas de saúde.
O custo da substituição
Em alguns casos, trocar o computador exige substituir também componentes específicos da máquina controlada. Um participante relatou manter um computador com Windows NT 4.0 conectado a uma grande máquina industrial por uma placa de interface feita para aquele controlador. Como PCs modernos não têm o slot necessário, a troca poderia levar à substituição do controlador e a um gasto superior a € 100 mil.
Outros relatos mencionam uma máquina de selagem com Windows NT 3.1, cuja versão chegou ao mercado em 27 de julho de 1993, além de sistemas com Windows NT 4. Também foram citados uma placa-mãe 486 DX2-66 usada em uma aeronave de pesquisa, sistemas 486 em laboratório, um desktop com Windows 3.11 ligado a uma máquina crítica e o controle de aquecimento de um hotel por um Pentium de 166 MHz.
A obsolescência também aparece na infraestrutura de rede. Roteadores Cisco 7200 são usados em aplicações legadas de mainframe conectadas por ESCON. A família foi anunciada em 10 de junho de 1996; a Cisco registra 29 de setembro de 2012 como fim das vendas e 29 de setembro de 2017 como encerramento do suporte. Um participante também citou um provedor que ainda opera um equipamento uBR7200VXR para atender cerca de 20 clientes.
Isolamento como medida de contenção
Parte dos administradores mantém esses sistemas fora da rede principal ou sem acesso à internet. Os relatos incluem computadores com Windows 3.11, Windows NT e Windows 95 isolados, além de um sistema com Windows XP usado para comunicação serial com dispositivos antigos.
Um sistema de correio de voz baseado em DOS foi virtualizado, recebeu backup e se comunica apenas por uma placa de quatro portas, para a qual ainda existem peças sobressalentes. O equipamento atende uma clínica médica remota e continua em uso há aproximadamente três décadas.
A CISA afirma que sistemas operacionais sem suporte são uma fonte recorrente de vulnerabilidades e recomenda segmentação e isolamento quando a substituição imediata não é possível. Os relatos, no entanto, são individuais, e não houve verificação independente sobre quais organizações operam essas máquinas.
