flawopen.com/Incidents/cisco-fmc-auth-bypass-qilin-sandworm-intrusions-september-2026

● Cisco Secure Firewall Management Center · CVE-2026-20079 · 2026-09-09 · CVSS 10.0 · Severidade editorial: Crítica

Pesquisa · FlawOpen

Ataques ao Cisco FMC: desvio de autenticação, Sandworm e Qilin

A Cisco Talos documentou três grupos distintos de intrusão contra o Cisco Secure Firewall Management Center (FMC). A atividade envolveu um desvio de autenticação CVSS 10.0, uma falha separada de credencial estática e caminhos pós-comprometimento que vão do roubo de credenciais ao Cyclops Blink e ao ransomware Qilin.^{[1], [2], [3]}

💡 Explicação em Linguagem Simples (ELI5)

O gerenciador de firewall é a sala de controle de muitas portas da rede. Se alguém invade a sala, pode roubar as chaves, alterar a vigilância das portas ou usá-la como rota escondida para entrar no prédio. A Talos observou três grupos usando sistemas FMC comprometidos de formas diferentes; por isso, é preciso corrigir o gerenciador e investigar o que ocorreu.^[1]

Conceitos Centrais e Termos

Plano de gerenciamento: A interface e os serviços do FMC usados para administrar dispositivos de firewall. Uma invasão pode expor credenciais e servir de pivô para redes gerenciadas.^{[1], [2]}
CVE-2026-20079 (CWE-288): A Cisco classifica esta falha como desvio de autenticação CVSS 10.0. O aviso diz que um processo inadequado iniciado na inicialização pode permitir que um invasor remoto sem autenticação execute scripts e obtenha acesso root.^[2]
CVE-2026-20316 (CWE-259): Uma falha distinta de credencial estática, CVSS 5.3, permite entrar com uma conta de baixo privilégio. A Cisco diz que ela pode ser combinada com outras falhas do FMC para ampliar o impacto; não é a mesma vulnerabilidade que CVE-2026-20079.^[3]
Grupo de intrusão: Conjunto acompanhado de comportamentos pós-comprometimento relacionados. A Talos separou três grupos; seus métodos de acesso e resultados não devem ser reduzidos a uma única cadeia universal.^[1]
Classificação do impacto do incidente: A classificação editorial da FlawOpen é Crítica porque a Cisco atribui CVSS 10,0 à CVE-2026-20079 e a Talos documenta caminhos pós-comprometimento que chegaram ao Cyclops Blink ou ao ransomware Qilin. Essa classificação do incidente não significa que a CVE-2026-20316 seja Crítica: a Cisco atribui CVSS 5,3 a essa falha distinta.^{[2], [1], [3]}

Mapeamentos de frameworks

Referência CWE para a fraqueza descrita neste guia: CWE-259 CWE-288
CISA KEV — adicionado em 2026-09-09 — CVE-2026-20079

Linha do Tempo do Incidente

2026-03-04

A Cisco divulgou CVE-2026-20079; CVE-2026-20316 foi divulgada em 29 de julho.^{[2], [3]}

2026-07 a 2026-08

Depois, a Cisco informou que a PSIRT soube da exploração ativa de CVE-2026-20316 em julho e de CVE-2026-20079 em agosto.^{[2], [3]}

2026-09-09

A Talos descreveu três grupos e suas diferentes atividades após a invasão.^[1]

2026-09-16

A Cisco publicou versões de hardening que corrigem as duas CVEs e outras falhas descobertas internamente.^{[4], [2], [3]}

Fluxo de Ataque Passo a Paso

Passo 1

Duas falhas de acesso distintas

CVE-2026-20079 é um desvio de autenticação na interface web, não autenticado, que leva à execução de scripts com acesso root. CVE-2026-20316 é uma credencial estática para uma conta de baixo privilégio. Algumas intrusões relacionaram as duas, mas elas não são uma única falha.^{[2], [3]}

Passo 2

A Talos acompanhou três grupos diferentes

UAT-12197 usou CVE-2026-20079 e instalou um web shell e um executor de comandos baseado em JAR para obter credenciais. UAT-11823 usou as duas CVEs, implantou ferramentas de proxy e reverse shell e uma variante do Cyclops Blink; a Talos relata sobreposição de ferramentas com Sandworm.^{[1], [2], [3]}

Passo 3

A atividade Qilin seguiu outro caminho

Segundo a Talos, UAT-11988 entrou usando a falha de credencial estática, fez reconhecimento e roubou credenciais, criou túneis e implantou o ransomware Qilin em alguns endpoints. A Talos avalia com alta confiança que esse grupo era operador de ransomware.^{[1], [3]}

Passo 4

Corrija e investigue em etapas separadas

A verificação de logs documentada pela Cisco pode indicar possível exploração. Uma hotfix ou versão de hardening impede novas explorações, mas a Cisco alerta que isso talvez não remova um comprometimento existente; contate a TAC se o indicador aparecer.^{[2], [3], [4]}

Código-Fonte: Vulnerável vs. Seguro

Este pequeno exemplo em Python ilustra um limite de autorização; não é código do Cisco FMC nem uma reconstrução das CVEs. A forma vulnerável despacha uma ação privilegiada sem verificar identidade ou permissão; a forma protegida exige autenticação e autorização explícita de gerenciamento. A Cisco descreve CVE-2026-20079 apenas como um processo inadequado criado na inicialização e não publica a implementação afetada nem o diff do patch. O exemplo ensina o limite de controle sem alegar reproduzir o código da Cisco.^{[2], [3]}

IMPLEMENTAÇÃO VULNERÁVEL

def invoke_management_action(identity, action):
    return action.execute()

PATCH SEGURO E ROBUSTO

def invoke_management_action(identity, action):
    if identity is None:
        raise PermissionError('authentication required')
    if not identity.can_manage_firewall:
        raise PermissionError('management authorization required')
    return action.execute()

Lista de Verificação de Segurança para Engenharia

✓Atualize o FMC local para a primeira versão corrigida da ramificação indicada nos avisos atuais da Cisco. Use o Cisco Software Checker para confirmar produto, plataforma e versão exatos; as versões de hardening também incluem outras correções de segurança.^{[2], [3], [5], [4]}
✓Para CVE-2026-20079, a Cisco informa que o serviço SaaS Security Cloud Control Firewall Management foi afetado, mas corrigido pela própria Cisco; para CVE-2026-20316, a Cisco informa que o Security Cloud Control não é afetado. Siga as orientações de versão corrigida separadas para o FMC local.^{[2], [3]}
✓Não trate a restrição de rede como patch. A Cisco diz que ela reduz a exposição quando a interface de gerenciamento não está pública, mas não há solução alternativa para nenhuma das duas vulnerabilidades.^{[2], [3]}
✓No FMC, use a verificação de log documentada pela Cisco no modo expert para package_info e license; uma correspondência com /var/tmp/license.tmp significa que o dispositivo pode ter sido explorado, não que o comprometimento esteja comprovado.^{[2], [3], [1]}
✓Se esse indicador ou outra atividade suspeita aparecer, preserve os logs e contate a TAC da Cisco para orientações de recuperação. A Cisco alerta que hotfixes impedem exploração futura, mas podem não limpar um dispositivo comprometido.^{[2], [3], [1]}
✓Orientação operacional da FlawOpen: Revise o acesso ao plano de gerenciamento e a telemetria de rede independente em busca de uso inesperado de credenciais, novos serviços ou arquivos web, túneis e conexões do gerenciador para hosts internos. Trate cada sinal como pista de investigação e avalie dispositivos gerenciados e credenciais.