Falha crítica no Secure FMC explorada em ataques

A Cisco confirmou a exploração ativa da vulnerabilidade CVE-2026-20079 no Secure Firewall Management Center (FMC), uma falha que permite contornar a autenticação e executar comandos com privilégios de root.

A vulnerabilidade tem uma classificação CVSS de 10,0, a pontuação máxima da escala, e pode ser explorada remotamente sem autenticação através do envio de pedidos HTTP especialmente preparados para a interface web de um equipamento vulnerável.

A Cisco tinha divulgado a CVE-2026-20079 em março, altura em que indicava não ter conhecimento de exploração ativa. Numa atualização ao alerta de segurança, a empresa revelou que a sua equipa PSIRT teve conhecimento de ataques que exploravam a falha em agosto de 2026.

A fabricante não especificou quando começaram os ataques, quem está por detrás da atividade ou que ações foram realizadas após a exploração dos sistemas.

A vulnerabilidade afeta o Cisco Secure FMC Software e o Cisco Security Cloud Control Firewall Management. O serviço Security Cloud Control alojado na cloud já foi corrigido pela Cisco. Para as restantes implementações, não existem soluções alternativas e a recomendação é atualizar para uma versão corrigida.

Apesar de a Cisco indicar agosto como o momento em que tomou conhecimento da exploração, existem indicadores de compromisso publicados em julho que levantam a possibilidade de atividade anterior.

A 29 de julho, a empresa divulgou outra vulnerabilidade no Secure FMC, a CVE-2026-20316, relacionada com a utilização de credenciais estáticas numa conta com privilégios reduzidos e cuja exploração ativa foi confirmada.

Nessa altura, a Cisco acrescentou ao alerta da CVE-2026-20079 os mesmos indicadores de compromisso associados à CVE-2026-20316 e disponibilizou os mesmos hot fixes para ambas as vulnerabilidades. Um dos registos apresentados pela empresa como exemplo estava datado de 23 de julho.

Estes elementos sugerem que as duas vulnerabilidades podem ter sido utilizadas nos mesmos ataques, embora a Cisco não tenha confirmado essa relação nem esclarecido se a atividade observada em julho envolvia a exploração da CVE-2026-20079.

A CISA adicionou entretanto a CVE-2026-20079 ao catálogo Known Exploited Vulnerabilities, utilizado para identificar vulnerabilidades com evidências de exploração no mundo real.

As agências civis federais norte-americanas têm até 12 de setembro de 2026 para proteger os sistemas afetados, de acordo com o prazo estabelecido pela agência.

A Cisco recomenda a instalação imediata das atualizações e aconselha os clientes que encontrem indicadores de compromisso a contactar o seu centro de assistência técnica. A fabricante alerta ainda que a aplicação das correções impede novas explorações, mas não elimina uma eventual presença dos atacantes em equipamentos que já tenham sido comprometidos.