Grupo ransomware explora vulnerabilidade zero-day

Uma vulnerabilidade crítica em soluções de firewall da Cisco foi explorada como zero-day desde pelo menos janeiro de 2026, antes da disponibilização de correções. A informação foi avançada pela equipa de threat intelligence da Amazon.

A falha, identificada como CVE-2026-20131, afeta o software Secure Firewall Management Center, utilizado na gestão de firewalls. Segundo a Cisco, a vulnerabilidade permite a um atacante remoto, sem autenticação, executar código Java arbitrário com privilégios de root através da interface web de gestão.

A vulnerabilidade foi corrigida a 4 de março, no âmbito de um conjunto mais alargado de atualizações de segurança que abrangeram também produtos como ASA e Secure FTD. Na altura, a Cisco recomendou que a interface de gestão não fosse exposta à internet para reduzir a superfície de ataque.

De acordo com a Amazon, existem evidências de exploração ativa da falha desde pelo menos 26 de janeiro. A atividade foi associada ao grupo de cibercrime Interlock, conhecido por ataques ransomware dirigidos a setores com elevado impacto operacional.

A investigação teve origem na análise de um servidor mal configurado utilizado pelo grupo, o que permitiu recolher informação sobre a cadeia de ataque, ferramentas utilizadas – incluindo RAT personalizados –, scripts de reconhecimento e técnicas de evasão.

Segundo a Amazon, o grupo Interlock tem como principais alvos organizações dos setores da educação, engenharia, construção, indústria, saúde e administração pública. Estes setores são escolhidos pelo potencial de disrupção, aumentando a probabilidade de pagamento de resgates.

A análise de padrões temporais das atividades maliciosas indica que o grupo poderá operar na zona UTC+3. Embora não tenha sido confirmada uma localização específica, os dados apontam para uma possível origem na Rússia, com hipóteses adicionais em países como Bielorrússia ou algumas regiões do Médio Oriente.

A Cisco atualizou, entretanto, o aviso de segurança para refletir a exploração ativa da vulnerabilidade. A Amazon disponibilizou também indicadores de compromisso para apoiar as equipas de segurança na deteção e mitigação destes ataques.