Uma onda de ataques contra o Cisco Secure Firewall Management Center (FMC) colocou administradores de redes corporativas em estado de alerta. As vulnerabilidades CVE-2026-20079 e CVE-2026-20316 estão sendo exploradas ativamente e podem permitir desde acesso não autorizado ao sistema de gerenciamento até execução de comandos com privilégios root.
A situação é especialmente grave porque o FMC não é um equipamento comum dentro da infraestrutura. Ele funciona como uma plataforma central para administrar políticas e dispositivos Cisco Secure Firewall. Um comprometimento bem-sucedido pode, portanto, oferecer aos invasores uma posição estratégica para realizar reconhecimento, coletar credenciais e avançar sobre outros sistemas da organização.
A investigação da Cisco Talos identificou diferentes operações utilizando as falhas, incluindo a implantação de web shells, shells reversos, ferramentas de proxy e o malware Cyclops Blink, associado ao grupo russo Sandworm. Em outro conjunto de ataques, os pesquisadores encontraram evidências ligando a atividade aos operadores do ransomware Qilin.
O que são as falhas críticas no Cisco FMC
As duas vulnerabilidades atingem componentes da interface web do Secure Firewall Management Center, mas possuem características diferentes.
A CVE-2026-20079 é a mais grave, com CVSS 10.0. A falha permite que um atacante remoto e não autenticado contorne mecanismos de autenticação e execute código no equipamento com privilégios elevados.
Já a CVE-2026-20316 está relacionada ao uso de credenciais estáticas associadas a uma conta de baixo privilégio. O problema pode permitir acesso remoto não autorizado a informações sensíveis e pode ser combinado com outras falhas para aumentar o nível de acesso obtido pelo invasor.
Essa combinação é particularmente perigosa em um equipamento responsável pelo gerenciamento de firewalls. Mesmo quando uma vulnerabilidade inicialmente oferece apenas acesso limitado, ela pode representar o primeiro estágio de uma operação muito maior.
CVE-2026-20079 permite acesso root ao sistema
A CVE-2026-20079 é considerada uma vulnerabilidade de gravidade máxima. A exploração pode ocorrer remotamente por meio de requisições HTTP especialmente construídas contra a interface web do FMC.
O problema permite burlar a autenticação e executar scripts no dispositivo. Segundo a Cisco, a exploração bem-sucedida pode resultar em acesso root ao sistema operacional subjacente.
Esse nível de privilégio muda completamente o cenário de risco.
Com acesso root, o atacante pode executar comandos, modificar arquivos, instalar componentes maliciosos, coletar informações e estabelecer mecanismos de persistência. Dependendo da arquitetura da rede, o FMC comprometido também pode servir como ponto de partida para alcançar outros ativos.
A Cisco informou que não há workaround capaz de eliminar a vulnerabilidade. Por isso, a recomendação é instalar as correções disponibilizadas para as versões afetadas.
CVE-2026-20316 expõe credenciais e dados sensíveis
A segunda falha, CVE-2026-20316, recebeu pontuação CVSS 5.3. O problema está associado a uma credencial estática presente no software e vinculada a uma conta com privilégios reduzidos.
Um invasor remoto não autenticado pode explorar essa condição para acessar o FMC e obter informações que deveriam estar protegidas.
Isoladamente, a vulnerabilidade não possui o mesmo impacto imediato da CVE-2026-20079. O risco aumenta quando as duas falhas são utilizadas como parte de uma mesma cadeia de ataque.
A Cisco alerta justamente para esse cenário. Um invasor pode utilizar um acesso inicial para obter informações e, posteriormente, explorar outras condições de segurança para alcançar níveis mais elevados de privilégio.
Como hackers estão explorando as falhas no Cisco FMC
A Cisco Talos identificou três conjuntos de atividade pós-comprometimento, classificados como UAT-12197, UAT-11823 e UAT-11988.
Embora as operações apresentem diferenças, todas demonstram uma característica importante: os invasores não estão simplesmente testando as vulnerabilidades. Eles estão utilizando o acesso obtido para realizar operações posteriores dentro dos ambientes comprometidos.
O primeiro grupo, UAT-12197, explorou a CVE-2026-20079 para obter acesso ao FMC e instalar web shells. A partir deles, os atacantes conseguiram executar comandos e realizar atividades adicionais no equipamento.
Também foram observadas técnicas voltadas à coleta de credenciais e informações de autenticação, aumentando o potencial de comprometimento da infraestrutura.
Sandworm utiliza Cyclops Blink contra o FMC
O segundo conjunto, UAT-11823, apresenta características que a Talos associou ao Sandworm, grupo de ameaça ligado à Rússia.
Nesse caso, os invasores exploraram CVE-2026-20079 e CVE-2026-20316 no mesmo ambiente. Depois de obter acesso, implantaram um shell reverso baseado em Netcat e utilizaram ferramentas de proxy para ampliar sua capacidade de comunicação com sistemas internos.
Um dos elementos mais relevantes da campanha foi a utilização de uma variante do Cyclops Blink.
O malware é associado ao Sandworm e possui recursos que permitem executar comandos, transferir arquivos, coletar credenciais, realizar reconhecimento da rede e capturar tráfego. Esse conjunto de capacidades transforma o comprometimento inicial do FMC em uma ameaça potencialmente muito mais ampla.
Para administradores, o caso também mostra por que a investigação não deve terminar depois da instalação de um patch. Um dispositivo que já foi comprometido precisa ser analisado em busca de persistência, arquivos suspeitos, processos anômalos e conexões externas.
Ransomware Qilin transforma o acesso ao FMC em ataque à rede
O terceiro cluster, UAT-11988, apresenta uma ligação de alta confiança com operadores do Qilin, uma das famílias de ransomware observadas em ataques contra organizações.
A estratégia encontrada pela Talos chama atenção porque os invasores utilizaram técnicas de Living-off-the-Land (LotL). Em vez de depender exclusivamente de ferramentas maliciosas, eles abusaram de recursos legítimos disponíveis no ambiente.
A operação envolveu reconhecimento de rede, coleta de credenciais, criação de túneis e identificação de dispositivos que poderiam ser atingidos posteriormente.
Entre as ferramentas observadas estão componentes como Impacket e Invoke-TheHash, utilizados em diferentes etapas da operação.
Depois da fase de reconhecimento e preparação, os operadores implantaram o Qilin nos endpoints selecionados.
Esse comportamento demonstra o principal risco estratégico das falhas. O objetivo do invasor não precisa ser o próprio FMC. O equipamento pode funcionar como uma porta de entrada privilegiada para a rede corporativa.
Em ambientes com servidores Linux, Windows, máquinas virtuais, sistemas de armazenamento e serviços críticos, um comprometimento desse tipo pode facilitar uma campanha de movimentação lateral e, posteriormente, uma operação de extorsão.
O que fazer para proteger o Cisco FMC
A prioridade para qualquer organização que utilize uma versão afetada do Cisco Secure Firewall Management Center deve ser verificar a versão instalada e aplicar imediatamente as correções oficiais disponibilizadas pela Cisco.
A inclusão da CVE-2026-20079 no catálogo Known Exploited Vulnerabilities (KEV) da CISA reforça que a ameaça deixou o campo das vulnerabilidades meramente teóricas. A presença no catálogo significa que a falha deve receber tratamento prioritário pelas organizações sujeitas às orientações da agência.
Além da atualização, os administradores devem investigar os registros do FMC em busca de:
- requisições HTTP anômalas;
- execução inesperada de comandos;
- web shells;
- shells reversos;
- processos desconhecidos;
- arquivos modificados recentemente;
- conexões externas incomuns;
- atividades relacionadas à coleta de credenciais;
- sinais de movimentação lateral.
Também é importante verificar se a interface de gerenciamento do FMC está exposta diretamente à internet. Restringir o acesso ao painel administrativo reduz significativamente a superfície de ataque, embora não substitua a aplicação das correções.
Ambientes que utilizam Snort também devem avaliar as assinaturas disponibilizadas pela Talos para identificar tentativas de exploração das vulnerabilidades e atividades associadas aos ataques observados.
Por fim, se houver evidências de comprometimento, simplesmente atualizar o FMC não deve ser considerado suficiente. A organização precisa tratar o equipamento como um possível ativo comprometido, investigar a extensão do incidente, revisar credenciais e verificar outros sistemas que possam ter sido acessados a partir dele.
As falhas no Cisco Secure Firewall Management Center mostram como uma vulnerabilidade em uma plataforma de administração pode rapidamente se transformar em um problema de toda a infraestrutura. A combinação de acesso root, roubo de credenciais, malware estatal e ransomware torna a atualização uma tarefa que deve ser tratada como prioridade.
Para administradores de redes, equipes de segurança, DevOps e profissionais responsáveis por ambientes Linux/Enterprise, o momento de verificar os FMCs instalados é agora. Não espere por sinais de ransomware para descobrir que o sistema de gerenciamento já foi comprometido.
Acompanhe o Sempre Update para receber novos alertas sobre vulnerabilidades críticas, campanhas de ransomware e ameaças que afetam infraestruturas corporativas.
