Exploração ativa confirmada por grupos de alto nível
A Cisco Talos confirmou a exploração ativa de duas vulnerabilidades afetando o Cisco Secure Firewall Management Center (FMC) Software. Grupos de hacking patrocinados por estados e afiliados de ransomware estão aproveitando as falhas para obter acesso root, plantar malware e preparar ataques em redes empresariais.
A divulgação marca um dos incidentes de segurança empresarial mais sérios do ano, dado o papel do FMC como console central que administradores usam para gerenciar frotas de firewalls Cisco. A vulnerabilidade mais perigosa, rastreada como CVE-2026-20079, carrega uma pontuação CVSS perfeita de 10.0 e permite que um atacante remoto não autenticado contorne controles de login inteiramente.
A falha decorre de um processo de sistema impróprio criado quando um dispositivo FMC é inicializado; se a sessão resultante nunca for reivindicada por um usuário legítimo, um atacante pode sequestrá-la e usá-la para executar scripts com privilégios de root sobre o sistema operacional subjacente. A Cisco corrigiu a issue em março de 2026, mas confirmou em 9 de setembro que sua equipe de resposta a incidentes de segurança de produtos (PSIRT) ficou ciente de abuso em ambiente real começando em agosto.
Grupos de ameaças identificados
Os pesquisadores da Talos identificaram três clusters separados de atividades pós-comprometimento, cada um refletindo objetivos diferentes de um ator de ameaça:
- UAT-12197: Explorou o bypass de autenticação para plantar uma web shell baseada em JSP dentro do diretório webroot do Tomcat do FMC, depois usou para dropar um executor de comando Java Archive chamado "cmd.jar" capaz de consultar o banco de dados interno do dispositivo para roubar credenciais de usuário armazenadas.
- UAT-11823: Avaliado com alta confiança como um ator de ameaça avançada sobreposto ao grupo russo vinculado ao exército, Sandworm. Este grupo encadeou ambas as CVEs, substituiu um arquivo de licença legítimo por um pacote Makeself malicioso para estabelecer uma shell reversa baseada em Netcat, exfiltrou configurações de dispositivo e, em última instância, implantou uma variante do malware Cyclops Blink.
- UAT-11988: Avaliado com alta confiança como um operador de ransomware Qilin que pulou o bypass de autenticação, logando-se através da falha de credenciais estáticas antes de viver da terra usando as próprias ferramentas administrativas embutidas do FMC.
Medidas de mitigação e correção
A Cisco e a Talos estão incentivando todas as organizações que executam o Secure FMC a aplicar as hotfixes já lançadas para ambas as CVEs imediatamente, em vez de esperar por um lançamento de endurecimento mais amplo programado para a semana de 14 de setembro. Administradores que não podem corrigir imediatamente também devem restringir as interfaces de gerenciamento do FMC da exposição à internet, já que isso reduz significativamente a superfície de ataque para todas as três campanhas observadas.
As equipes de segurança devem monitorar logs de acesso ao FMC em busca de tentativas de login não autorizadas, alterações de configuração suspeitas e conexões de saída anômalas. A implementação de regras de firewall para restringir o acesso ao FMC apenas de IPs de gerenciamento conhecidos é uma medida de mitigação imediata recomendada.
Além disso, é crucial revisar as credenciais de administrador e garantir que a autenticação multifator (MFA) esteja habilitada para todos os acessos ao FMC. A Cisco recomenda que os administradores atualizem o firmware para a versão mais recente e apliquem as correções de segurança específicas para as CVEs mencionadas.