Cisco: falhas no FMC são exploradas para instalar Qilin
A Cisco confirmou que três grupos distintos de ataque exploram ativamente duas vulnerabilidades no Secure Firewall Management Center (FMC) para roubar credenciais, instalar backdoors e distribuir o ransomware Qilin. A Cisco Talos identificou os clusters UAT-12197, UAT-11823 e UAT-11988 operando desde agosto de 2026, um deles ligado ao grupo russo Sandworm.
As falhas exploradas
A CVE-2026-20079, com CVSS 10.0, é um bypass de autenticação na interface web do FMC que permite a um atacante remoto e sem credenciais executar scripts e obter acesso root ao sistema operacional do appliance. A segunda, CVE-2026-20316, tem CVSS 5.3 e permite login com uma conta de baixo privilégio para acessar dados sensíveis — ela pode ser combinada com outras falhas do FMC para escalar privilégios.
A CISA incluiu a CVE-2026-20079 no catálogo de vulnerabilidades exploradas (KEV) em 9 de setembro, com prazo de correção para agências federais dos EUA em 12 de setembro. A CVE-2026-20316 já constava do catálogo desde julho.
Quem é afetado
Instalações do Cisco Secure Firewall Management Center com as versões vulneráveis ao par CVE-2026-20079/CVE-2026-20316 e que não aplicaram os hotfixes já disponibilizados pela Cisco. A companhia informou que pretende lançar, na próxima semana, uma atualização de hardening cobrindo outras vulnerabilidades descobertas internamente.
O que cada grupo fez depois de entrar
- UAT-12197 — explorou a CVE-2026-20079 para instalar web shells em JSP e um executor de comandos em Java (JAR) usado para consultar bancos internos e extrair credenciais de autenticação.
- UAT-11823 — combinou as duas CVEs para abrir um reverse shell via Netcat, rodar scripts que coletam configurações dos dispositivos gerenciados pelo FMC e instalar uma variante do Cyclops Blink, implante ELF modular já atribuído ao grupo russo Sandworm.
- UAT-11988 — usou a CVE-2026-20316 para acesso inicial e depois ferramentas legítimas do próprio FMC (living-off-the-land) para reconhecimento, coleta de credenciais, definição da lista de máquinas a criptografar, encerramento de ferramentas de segurança e implantação do ransomware Qilin.
O que fazer agora
- Aplique os hotfixes da Cisco para CVE-2026-20079 e CVE-2026-20316 em todas as instâncias de Secure FMC, mesmo as que não estão expostas diretamente à internet.
- Revise logs do FMC em busca de web shells JSP, arquivos JAR não reconhecidos ou processos Netcat inesperados.
- Verifique contas de baixo privilégio quanto a uso anômalo — é o vetor de entrada da CVE-2026-20316.
- Audite dispositivos gerenciados pelo FMC em busca de ferramentas de tunelamento, coleta de credenciais e alterações de configuração não autorizadas.
- Acompanhe o aviso da Cisco para a atualização de hardening prevista para a próxima semana.
Perguntas frequentes
As duas falhas precisam ser exploradas juntas?
Não. A CVE-2026-20079 sozinha já dá acesso root sem autenticação. A combinação com a CVE-2026-20316 amplia as opções de escalada de privilégio observadas pelos clusters UAT-11823 e UAT-11988.
O ransomware Qilin afeta o próprio FMC?
O FMC foi o ponto de entrada. O grupo UAT-11988 usou o acesso para mapear a rede da vítima e implantar o Qilin nos sistemas selecionados, não necessariamente no appliance em si.
Existe prova de conceito pública?
A Cisco e a Talos não publicaram detalhes técnicos suficientes para reprodução, mas a exploração ativa desde agosto de 2026 indica que agentes de ameaça já têm as informações necessárias.
Aplicar o hotfix remove um Cyclops Blink ou Qilin já instalado?
Não. Corrigir a falha impede novas explorações, mas não remove implantes já ativos. Trate qualquer FMC exposto no período como potencialmente comprometido e investigue antes de considerar o ambiente limpo.
Conclusão
O Secure FMC é o painel central de gestão de firewalls Cisco — comprometê-lo dá a um atacante visão e controle sobre toda a política de segurança gerenciada por ele. Com exploração confirmada desde agosto e ransomware já em campo, aplicar os hotfixes deixou de ser tarefa de manutenção e virou contenção de incidente.
