VKSECURITY Nota 10 de gravidade: a falha da Cisco que dá acesso total ao firewall já está sendo explorada
Uma falha com a nota máxima de gravidade no sistema que gerencia os firewalls da Cisco permite assumir o controle total sem senha nenhuma. A correção saiu em março, mas os ataques começaram em agosto — e alcançaram quem não aplicou. Se a sua empresa usa Cisco na borda, esta é a checagem da semana.
Existe uma diferença importante entre invadir um firewall e invadir o sistema que comanda todos os firewalls da empresa. É esse segundo caso que está em jogo agora.
A falha
O Cisco Secure Firewall Management Center (FMC) é o painel central de onde as empresas configuram e monitoram sua frota de firewalls. A falha identificada como CVE-2026-20079 recebeu nota 10 de 10 — o máximo possível na escala de gravidade — e permite que um invasor sem nenhuma credencial contorne a autenticação da interface web e execute comandos com acesso root ao sistema operacional.
Há ainda uma segunda falha, a CVE-2026-20316, de gravidade média, causada por credenciais fixas no código de uma conta de baixo privilégio. Combinadas, elas dão ao atacante o caminho completo.
O detalhe que importa: a correção existe desde março
Esta é a parte que merece atenção de todo gestor de TI. A Cisco corrigiu a falha em março de 2026. Só que, em setembro, a empresa confirmou que a exploração em ataques reais começou em agosto — cinco meses depois do remendo estar disponível.
Ou seja: quem aplicou a atualização no prazo não foi atingido. Quem deixou para depois passou cinco meses com uma porta aberta e, em agosto, começou a receber visita. A CISA, agência de cibersegurança dos Estados Unidos, incluiu a falha no catálogo de vulnerabilidades comprovadamente exploradas e deu prazo até 12 de setembro para os órgãos federais corrigirem.
Os grupos identificados nos ataques não são amadores: pesquisadores associaram a atividade a um grupo ligado à inteligência militar russa e a um afiliado do ransomware Qilin.
O que fazer
- Verifique a versão do seu FMC e aplique as correções para as duas falhas. Se a sua empresa terceiriza a gestão do firewall, cobre isso do fornecedor hoje, por escrito.
- Assuma comprometimento se estiver desatualizado desde agosto. Procure contas administrativas novas, alterações de configuração que ninguém fez, e registros apagados. E troque as credenciais administrativas.
- Tire o painel de gerenciamento da internet. Ele precisa ser acessível de dentro da rede ou por VPN, nunca aberto para o mundo.
O padrão que já dá para chamar de tendência
Em três semanas, este blog cobriu falhas graves em equipamentos de borda de quatro fabricantes diferentes: FortiGate, Check Point, Palo Alto e agora Cisco. Não é coincidência nem perseguição a marca nenhuma. É onde o crime está olhando, porque esses aparelhos ficam expostos 24 horas por dia, mandam na rede inteira e são atualizados com muito menos frequência do que os computadores das pessoas.
A pergunta que fica, e que vale responder internamente esta semana: quem, na sua empresa, é responsável por acompanhar os avisos de segurança do fabricante do seu firewall — e com que prazo? Se a resposta for “ninguém, especificamente”, o caso da Cisco mostra o tamanho do risco: cinco meses entre a correção existir e o ataque chegar foi tempo mais que suficiente. Para os dois lados.
Fontes
- Cisco Security Advisories — CVE-2026-20079 e CVE-2026-20316: sec.cloudapps.cisco.com/security/center/publicationListing.x
- CISA — catálogo de vulnerabilidades conhecidas exploradas (KEV): cisa.gov/known-exploited-vulnerabilities-catalog
- Foto de capa: prédio da Cisco em Amsterdã, com o logotipo da empresa — Ben Bender, CC BY 2.0, via Wikimedia Commons
- Segunda imagem: logotipo da Cisco — Cisco Systems, domínio público, via Wikimedia Commons
