Três grupos diferentes estão explorando duas vulnerabilidades no Cisco FMC (Secure Firewall Management Center), o console que gerencia de forma centralizada os firewalls da Cisco. A Talos, equipe de inteligência de ameaças da própria Cisco, publicou em 9 de setembro de 2026 o relatório que separa os três: um cluster cujas ferramentas coincidem com as do Sandworm, grupo ligado à inteligência militar russa; um operador de ransomware que terminou a invasão distribuindo o Qilin; e um terceiro grupo, sem atribuição, dedicado a roubar credenciais.

O detalhe que muda a leitura do caso está nas notas. A falha que puxou as manchetes é a CVE-2026-20079, com CVSS 10.0. Mas o grupo que chegou ao ransomware entrou pela CVE-2026-20316, uma credencial fixa no código com nota 5.3. O catálogo de vulnerabilidades exploradas da CISA registra exatamente isso: a 20316 aparece com uso conhecido em campanhas de ransomware, a 20079 aparece como “desconhecido”.

O que é o Cisco FMC e por que ele virou alvo

O Cisco FMC concentra as políticas de acesso, as configurações de VPN e os eventos de uma frota inteira de firewalls Cisco Secure Firewall (a linha que já se chamou Firepower). Em empresa média ou grande, um único console costuma controlar dezenas de equipamentos espalhados por data centers e filiais.

Isso faz dele um alvo melhor que qualquer firewall isolado, por dois motivos. Primeiro, ele guarda a configuração de todos os equipamentos que gerencia, e um dos três grupos foi atrás exatamente disso. Segundo, ele fica numa posição de rede privilegiada, com alcance até servidores internos, e o grupo do ransomware usou essa posição como ponte até o Active Directory.

Um ponto de escopo que evita pânico desnecessário: os firewalls em si não são vulneráveis. Os advisories da Cisco listam o Secure Firewall Threat Defense (FTD), o Secure Firewall ASA e o Firewall Device Manager (FDM) como não afetados. O problema está no console de gerenciamento. O padrão de equipamento de borda comprometido com acesso root e implante persistente não é novo no blog; vimos algo parecido nos roteadores ZBT que já saem de fábrica com implantes.

As duas vulnerabilidades do Cisco FMC

CVE-2026-20079 (CVSS 10.0): bypass de autenticação com root

Segundo o advisory da Cisco, um atacante remoto e não autenticado envia requisições HTTP construídas para a interface web e consegue executar scripts no equipamento com acesso root ao sistema operacional. A causa, nas palavras da Cisco, é um processo de sistema criado de forma inadequada no boot. Não é só pular a tela de login: o resultado é root.

Afeta o Cisco FMC instalado localmente e o gerenciamento de firewall do Security Cloud Control (SCC). A versão em nuvem do SCC já foi corrigida pela própria Cisco, sem ação do cliente.

O advisory foi publicado em 4 de março de 2026 e revisado várias vezes desde então. Em 31 de julho ganhou os hotfixes e os indicadores de comprometimento. A Cisco diz que soube da exploração ativa em agosto, e registrou isso no advisory em 9 de setembro, mesmo dia em que a CISA incluiu a falha no catálogo KEV, com prazo até 12 de setembro para as agências federais americanas corrigirem.

CVE-2026-20316 (CVSS 5.3): a credencial fixa que trouxe o ransomware

O segundo advisory descreve credenciais estáticas de uma conta de baixo privilégio embutidas na interface web. Qualquer um que conheça a credencial faz login remotamente, sem autenticação prévia, e acessa os dados que essa conta enxerga. A própria Cisco avisa que a falha pode ser encadeada com outras para escalar privilégio, e é por isso que a nota baixa engana.

Essa afeta só o Cisco FMC local. O cdFMC (versão entregue pela nuvem) e o SCC não são afetados. A Cisco soube da exploração em julho, publicou o advisory em 29 de julho, e a CISA incluiu a falha no KEV no mesmo dia.

Nenhuma das duas tem workaround. A única redução de superfície que a Cisco menciona é a interface de gerenciamento não estar acessível pela internet.

Os três grupos que exploram o Cisco FMC

UAT-11823: as ferramentas do Sandworm

A Talos avalia com alta confiança que esse cluster explorou as duas CVEs, e que suas ferramentas coincidem com as do Sandworm. A sequência documentada:

• Shell reverso. O grupo alterou um arquivo license.tmp, empacotado com Makeself, para abrir uma conexão Netcat de volta para o servidor do atacante. Quem executou o arquivo com privilégio de root foi o package_info.pl, um script legítimo do próprio FMC.
• Coleta de configuração. Dois scripts bash reuniram a configuração dos dispositivos gerenciados pelo console e compactaram tudo para exfiltração.
• Implante Cyclops Blink. Um malware ELF modular, baixado do mesmo servidor de comando. Ele instala scripts de persistência em /etc/init.d/, se comunica por DNS sobre HTTPS, sobe e baixa arquivos, coleta credenciais, executa comandos, varre a rede e captura pacotes com filtro.

O Cyclops Blink não é novidade. Em 2022, agências do Reino Unido e dos Estados Unidos o atribuíram ao Sandworm, quando ele infectava firewalls da WatchGuard. Reaparecer agora, num console de firewall de outro fabricante, mantém o mesmo perfil de alvo: infraestrutura de rede, que fica fora do alcance das ferramentas de segurança de endpoint.

UAT-11988: o afiliado do ransomware Qilin

A Talos avalia com alta confiança que se trata de um operador de ransomware, com comportamento consistente com o dos afiliados do Qilin. A entrada foi pela CVE-2026-20316, a credencial fixa. A partir daí, o grupo usou só o que o próprio Cisco FMC oferece, em estilo living off the land: abusou do mesmo package_info.pl para executar um license.tmp malicioso como root. A Talos não detalha como a conta de baixo privilégio chegou até esse ponto.

O que veio depois é um roteiro completo de preparação para ransomware:

• Reconhecimento. Nomes de host, endereços IP, listagens de diretório, credenciais de contas de serviço do Active Directory e do MySQL, informações de contas de domínio, listas de objetos de computador e o mapeamento de nome para IP dos controladores de domínio, do ADFS, dos servidores Exchange, de arquivos e de banco de dados.
• Túnel para dentro da rede. Um proxy SOCKS5 em Python (socks5.py) e um túnel SSH reverso até o host do atacante, encaminhando as portas de LDAP (389), LDAPS (636), Kerberos (88), SMB (445), a porta 135 e WinRM (5985). Na prática, o console de firewall virou a ponte até o Active Directory.
• Movimento e preparação. Sondagem extensa de endpoints, impacket, Invoke-TheHash e AV killers próprios para derrubar as ferramentas de segurança.
• Impacto. O ransomware Qilin foi distribuído em endpoints escolhidos.

O Qilin, também chamado de Agenda, funciona como Ransomware as a Service desde 2022: o grupo mantém o malware e a infraestrutura, e afiliados fazem a invasão em troca de parte do resgate. É por isso que as campanhas do Qilin aparecem com vetores de entrada tão diferentes entre si. Explicamos esse modelo em RaaS: A Ascensão do Ransomware as a Service e Como se Proteger.

UAT-12197: roubo de credenciais do banco interno

O terceiro cluster explorou a CVE-2026-20079. Instalou um web shell JSP (home.jsp) no diretório do Tomcat e, ao lado dele, um executor de comandos em Java (cmd.jar). Com isso, rodou o OmniQuery.pl, ferramenta do próprio FMC, para consultar o banco de dados interno e extrair nome e dados de autenticação de todos os usuários. A Talos não atribui esse grupo nem avalia sua motivação.

Como saber se o seu Cisco FMC foi invadido

Os dois advisories trazem o mesmo comando de verificação, para rodar em modo expert:

zgrep "package_info.*license" /var/log/messages*

Se o resultado mostrar /var/tmp/license.tmp na linha de comando executada, o equipamento pode ter sido comprometido, e a orientação da Cisco é abrir chamado no TAC.

Uma ressalva importante sobre o alcance desse comando: ele procura o padrão usado pelos clusters do Sandworm e do Qilin, que passam pelo package_info.pl. A atividade que a Talos descreve para o UAT-12197, com web shell JSP e um arquivo JAR, não passa por esse caminho. Um resultado vazio não descarta esse terceiro grupo; vale procurar também os arquivos e hashes publicados.

A Talos publicou os indicadores completos, incluindo os hashes do web shell, do JAR e do Cyclops Blink, no repositório de IoCs no GitHub. Os endereços de rede:

Para quem usa Snort, as regras são as SIDs 66075 a 66080 (CVE-2026-20079), 66883 (CVE-2026-20316) e 66960 e 66961 (malware).

O que fazer agora

Os dois advisories listam os mesmos pacotes de hotfix, então o pacote da sua release fecha as duas falhas de uma vez:

1. Aplique o hotfix da sua release, conforme a tabela acima.
2. Rode a verificação antes e depois do patch. O hotfix fecha a porta, mas não remove quem já entrou. O Cyclops Blink, por exemplo, instala persistência própria.
3. Tire a interface de gerenciamento da internet. É a única redução de superfície que a Cisco reconhece enquanto o patch não é aplicado. Restrinja o acesso a uma rede administrativa.
4. Não conte com os controles de login. MFA não protege contra a CVE-2026-20079, que nem passa pelo login. E a CVE-2026-20316 é um login que dá certo, então alerta de tentativa falha não dispara.
5. Se houver sinal de comprometimento, trate como incidente do domínio, não do equipamento. O grupo do Qilin coletou credenciais de contas de serviço do Active Directory e do MySQL e abriu túnel até os controladores de domínio. Troque essas credenciais e trate a configuração dos firewalls gerenciados como vazada.
6. Confira os backups. Com um afiliado de ransomware entre os três grupos, a pergunta sobre restauração precisa ter resposta antes, não durante o incidente. Tratamos disso em segurança de backups e sua importância na mitigação de ataques ransomware.
7. Acompanhe o advisory. A Talos anunciou para meados de setembro um release de hardening mais amplo, reunindo esses hotfixes e outras vulnerabilidades encontradas internamente pela Cisco.

Conclusão

O caso do Cisco FMC tem duas lições que valem além da Cisco. A primeira é sobre priorização por nota. A falha de CVSS 5.3 foi a que abriu caminho para o ransomware, porque uma credencial fixa pode ser exatamente a peça que falta para um atacante, e a Cisco avisou disso no próprio advisory. Vimos a mesma dinâmica na cadeia de duas falhas do PaperCut, em que a falha de nota menor era a que destravava a maior.

A segunda é sobre onde ficam os consoles de gerenciamento. O Cisco FMC existe para proteger a rede, e por isso tem alcance e credenciais que quase nenhum outro sistema tem. Nos três casos documentados pela Talos, foi isso que os atacantes aproveitaram: a configuração de todos os firewalls, o banco de usuários e a posição de rede até o Active Directory. Console de segurança merece o mesmo isolamento que se exige dos sistemas que ele protege.

A cobertura original está no The Hacker News, e os dois advisories da Cisco continuam sendo a fonte a acompanhar.