A Cisco publicou novos alertas de segurança para o ecossistema Cisco Secure Firewall. O ponto que mais exige atenção das equipes técnicas é simples: as vulnerabilidades já aparecem associadas a exploração ativa, não contam com workaround e exigem atualização para versões corrigidas ou aplicação dos hot fixes indicados pelo fabricante.
As falhas envolvem componentes diferentes. A primeira, CVE-2026-20316, afeta o Cisco Secure Firewall Management Center Software. A segunda, CVE-2026-20349, atinge Cisco Secure Firewall ASA Software e Cisco Secure Firewall Threat Defense Software em cenários relacionados ao serviço Remote Access SSL VPN. Além disso, a CISA publicou em 11 de agosto de 2026 um alerta sobre a inclusão de três vulnerabilidades no catálogo Known Exploited Vulnerabilities, reforçando a necessidade de priorização operacional.
O risco no Cisco Secure FMC
A CVE-2026-20316 está ligada à presença de credenciais estáticas na interface web do Cisco Secure Firewall Management Center. Segundo a Cisco, um atacante remoto e não autenticado pode usar uma conta de baixo privilégio para acessar um dispositivo afetado e consultar dados sensíveis no sistema impactado.
Esse detalhe muda a leitura de risco. O CVSS informado pela Cisco é 5.3, mas o advisory recebeu classificação High. A própria Cisco justifica essa decisão porque a falha pode ser combinada com outras vulnerabilidades do Cisco Secure FMC para elevar privilégios.
Portanto, tratar o problema apenas como uma exposição limitada pode levar a uma priorização inadequada. Em ambientes nos quais o FMC centraliza a administração de firewalls, qualquer acesso indevido merece investigação cuidadosa. A Cisco também observa que a superfície de ataque diminui se a interface de gerenciamento do FMC não estiver exposta à internet.
O advisory informa que a vulnerabilidade afeta o Cisco Secure FMC Software independentemente da configuração do dispositivo. A Cisco confirma que cdFMC, FDM, ASA, FTD e Security Cloud Control não são afetados por essa CVE específica.
DoS em ASA e FTD via Remote Access SSL VPN
A CVE-2026-20349 segue outra linha de impacto. Ela afeta o serviço Remote Access SSL VPN no Cisco Secure Firewall ASA Software e no Cisco Secure Firewall Threat Defense Software. A falha permite que um atacante remoto e não autenticado cause recarregamento inesperado do dispositivo, resultando em condição de negação de serviço.
De acordo com a Cisco, a vulnerabilidade decorre de verificação insuficiente de erros ao processar requisições HTTP. A exploração ocorre por meio de uma requisição HTTP criada especificamente para atingir o serviço vulnerável.
O impacto operacional pode ser significativo. Em ambientes que dependem de VPN remota, uma indisponibilidade no ASA ou FTD pode afetar acesso corporativo, continuidade de operação e resposta a incidentes. Além disso, a Cisco informa que tomou conhecimento de exploração ativa dessa vulnerabilidade em agosto de 2026.
A exposição depende de versões vulneráveis e de configurações específicas. O advisory cita recursos como IKEv2 Remote Access VPN com client services, SSL VPN e Zero Trust Network Access. Para FTD, recursos de VPN remota podem ser habilitados pelo FMC ou pelo FDM.
Sem workaround, com prioridade de correção
Nos dois advisories, a Cisco informa que não há workaround. Isso reduz a margem para compensações temporárias e desloca a resposta para atualização, aplicação de hot fix e validação de exposição.
Para a CVE-2026-20316, a Cisco disponibilizou hot fixes para versões do Cisco Secure FMC Software, incluindo linhas 7.0, 7.2, 7.4, 7.6, 7.7 e 10.0. O advisory também orienta verificar indicadores de comprometimento em logs. Um sinal citado envolve mensagens relacionadas ao uso de /var/tmp/license.tmp. Se houver suspeita de exploração, a Cisco recomenda contato imediato com o TAC, pois os hot fixes previnem exploração futura, mas podem não resolver um comprometimento já ocorrido.
Para a CVE-2026-20349, a Cisco publicou hot fixes para Cisco Secure Firewall ASA Software e Cisco Secure FTD Software. O advisory também recomenda o uso do Cisco Software Checker para confirmar exposição por versão e identificar a primeira versão corrigida.
Além disso, a inclusão de vulnerabilidades no catálogo KEV da CISA funciona como sinal de priorização. A CISA mantém esse catálogo para vulnerabilidades com exploração conhecida e orienta organizações a reduzir exposição por meio de correção tempestiva. Embora a obrigação formal da BOD 22-01 se aplique a agências federais civis dos Estados Unidos, a recomendação de priorizar vulnerabilidades KEV serve como referência prática para qualquer programa de gestão de vulnerabilidades.
O que equipes técnicas devem fazer agora
O primeiro passo é inventariar rapidamente instâncias de Cisco Secure FMC, ASA e FTD. Em seguida, as equipes devem verificar versões, configurações expostas e presença de serviços Remote Access SSL VPN, IKEv2 com client services ou ZTNA nos ambientes afetados.
Também vale revisar a exposição das interfaces de gerenciamento. A Cisco não apresenta isso como correção para a CVE-2026-20316, mas informa que a superfície de ataque diminui quando a interface de gerenciamento do FMC não tem acesso público pela internet.
Por fim, a resposta deve separar prevenção de investigação. Aplicar hot fix reduz risco futuro. Já sinais de comprometimento exigem análise própria, preservação de evidências e acionamento dos canais indicados pelo fabricante.
Fontes: Cisco CVE-2026-20316, Cisco CVE-2026-20349, CISA KEV.
About The Author
