Cisco Alerta para Exploração Ativa de Falha de Credencial em Dispositivos FMC

A Cisco alertou sobre uma exploração ativa em seus dispositivos Secure Firewall Management Center (FMC), causada por uma vulnerabilidade de credencial estática (CVE-2026-20316). Esta falha utiliza uma conta de baixo privilégio ativada por padrão, cujas credenciais são estáticas e embutidas no software. Embora a pontuação CVSS seja 5.3, a Cisco a classificou como alta severidade porque, em um ataque de dia zero, ela pode ser combinada com outras vulnerabilidades para escalar privilégios e permitir acesso não autorizado a dados sensíveis.

A exploração permite que um atacante remoto não autenticado acesse o sistema. As hotfixes para o Secure FMC estão disponíveis nas versões 7.0, 7.2, 7.4, 7.6, 7.7 e 10.0. A Cisco não identificou um workaround completo, então a aplicação dos patches é crucial. Para detecção, administradores devem verificar o log `/var/log/messages` por entradas contendo `/var/tmp/license.tmp`, indicando um possível comprometimento. A exploração foi detectada em julho de 2026, mas detalhes sobre os agressores ou vítimas ainda não foram divulgados.

Esta notícia da Cisco se soma a um cenário já tenso de segurança para a empresa. Em março de 2026, a Cisco divulgou inicialmente a vulnerabilidade CVE-2026-20079, uma falha de bypass de autenticação crítica para o FMC (CVSS 10.0), conforme noticiado pelo CEVIU. Em 29 de julho de 2026, a Cisco atualizou este advisory, adicionando um segundo ID de bug, novas hotfixes e indicadores de comprometimento. Embora a empresa não associe explicitamente a exploração ativa do CVE-2026-20316 com o CVE-2026-20079, o fato de o mesmo indicador de comprometimento (`/var/tmp/license.tmp`) ser mencionado em ambos os alertas de segurança é um detalhe que precisa de atenção redobrada.

A vulnerabilidade em destaque reforça um padrão preocupante: a exploração ativa de falhas em infraestruturas críticas. Assim como vimos com as notícias de 1 de junho de 2026 sobre o Palo Alto GlobalProtect, 16 de julho de 2026 com o SonicWall SMA1000 e as duas falhas no Cisco SD-WAN em março de 2026, os atacantes estão mirando em dispositivos de rede e segurança como porta de entrada. Mesmo uma falha de baixo privilégio, como o CVE-2026-20316, quando encadeada, torna-se um vetor sério para o comprometimento de toda a rede.

A gravidade é ainda maior porque a falha se manifesta como uma conta de credencial estática, algo que deveria ser evitado em qualquer ambiente corporativo seguro. Para as organizações, isso significa que a gestão de vulnerabilidades e a aplicação rápida de patches, somadas à monitorização de IOCs, são essenciais para proteger a infraestrutura e evitar acessos não autorizados. A tendência de exploração de zero-days em produtos de grandes fornecedores de infraestrutura, como a Cisco, exige uma postura de defesa proativa e constante vigilância.