CERT da Polônia não conseguiu contato com a Dayforce — e publicou mesmo assim três falhas na folha de pagamento
O CERT nacional da Polônia divulgou em 28 de setembro três falhas exploráveis sem autenticação no Dayforce Payroll, depois de tentativas frustradas de contato com o fornecedor — uma semana depois de a mesma linha de produtos receber o aval do FedRAMP (certificação de nuvem do governo americano) para atender compradores federais dos EUA, e com os funcionários da Sydney Water entrando no terceiro mês sem receber o salário. O empréstimo de US$ 5,5 bilhões por trás da aquisição do Thoma Bravo é precificado com base na ideia de que trocar de folha de pagamento é um risco grande demais.
Vincent Jiang · 3 min read
Em 28 de setembro de 2026, o CERT nacional da Polônia (CERT Polska) divulgou comunicados de segurança sobre três falhas exploráveis sem autenticação no Dayforce Payroll, após tentativas de contato com o fornecedor que, segundo o próprio órgão, fracassaram 5.
O salário que nunca chega
Desde julho, a mesma linha de produtos em uso na Sydney Water vem pagando os funcionários com atraso — ou deixando de pagar os adicionais e as horas extras de que centenas deles dependem para o aluguel e a pensão alimentícia 1. Pelo menos metade dos 3.000 funcionários da empresa de saneamento aderiu às proibições de tarefas e às paradas rotativas, e os sindicatos levaram a disputa à Fair Work Commission e à NSW Industrial Relations Commission, os tribunais trabalhistas federal e estadual 1. "Estamos entrando em outubro e o problema ainda não foi resolvido", disse o secretário da ASU (Australian Services Union), Angus McFarland 1. O sistema custou A$ 40 milhões e já rendeu quatro ações judiciais 8.
Um pedágio com dívida embutida
O Thoma Bravo tirou a Dayforce da bolsa em uma aquisição de US$ 12,3 bilhões aprovada pelos acionistas, com os investidores embolsando US$ 70 por ação 23. Por trás da operação está um first-lien term loan (empréstimo com garantia de primeira prioridade) de US$ 5,5 bilhões, com rating B+, sobre uma base de 85% de receita recorrente e retenção bruta acima de 95% 4. A Fitch projeta alavancagem de 7,6x o EBITDA neste ano fiscal, com queda para menos de 7,0x em 12 a 18 meses 4. O The Inference já havia ligado essa greve a essa dívida em 26 de setembro; a semana seguinte acrescentou mais dois desdobramentos.
A tese da Fitch para o rating B da Dayforce: alavancagem caindo de mais de 8x rumo a 7x
- Alavancagem sobre EBITDA ajustado
- Estimate
Data
| Alavancagem sobre EBITDA ajustado | |
|---|---|
| Expectativa anterior (FY26) (estimate) | 8x |
| Previsão FY2026 (estimate) | 7.6x |
| Perspectiva até o fim de 2027 (estimate) | 7x |
Três chaves, nenhuma resposta
Os comunicados de segurança abrangem a versão R2026.2.0: uma injeção de SQL cega baseada em tempo, acessível por meio da recuperação de senha; cross-site scripting em vários endpoints; e um path traversal que permite a um atacante sem autenticação obter qualquer arquivo local 5. Apenas essa versão está confirmada como afetada, mas outras podem apresentar as mesmas falhas 5.
Liberada para Washington, uma semana antes
Em 21 de setembro, a Dayforce anunciou o status de Initial Implementation no FedRAMP Marketplace, colocando sua plataforma de folha de pagamento na lista da qual as agências federais americanas podem comprar, dentro de uma nuvem dedicada ao governo 67. A justificativa de rating da Fitch cita o fosso competitivo (moat) sem rodeios: exigências de auditabilidade e o risco jurídico de erros na folha de pagamento devem limitar a disrupção provocada por ferramentas de IA 4. O risco jurídico dos erros na folha de pagamento é exatamente o que os trabalhadores da Sydney Water carregam.
O outro lado
A Sydney Water pediu desculpas, reforçou a equipe de folha de pagamento e vem pagando reparações e adiantamentos emergenciais concedidos com base na confiança 1. A Dayforce aponta o investimento contínuo em controles de segurança e seu histórico com órgãos públicos regulados 6. Os números de retenção da Fitch não se moveram 4.
O que quebra primeiro
Três portas: o que a Fair Work Commission fará com a disputa da Sydney Water 1; se a Dayforce responderá ao CERT Polska e corrigirá a versão R2026.2.0 5; e se a queda da alavancagem resiste a qualquer churn que ela provoque 4. O fosso competitivo e a pane são a mesma máquina: enquanto abandonar a folha de pagamento doer demais, o empréstimo é pago antes dos trabalhadores.
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
