Falhas no Cisco Firewall Management Center são exploradas por ransomware Qilin e grupo ligado à Rússia

<p>A Cisco confirmou que três clusters de ameaças distintos — dois deles ligados a espionagem e um a ransomware — estão explorando duas vulnerabilidades já corrigidas no Secure Firewall Management Center (FMC): o CVE-2026-20079, um bypass de autenticação na interface web com CVSS 10.0 que permite a um atacante remoto não autenticado obter acesso de root ao sistema operacional do dispositivo, e o CVE-2026-20316, com CVSS 5.3, que permite login em conta de baixo privilégio para acessar dados sensíveis.</p><p>Segundo a empresa, o grupo identificado como UAT-12197 utilizou as falhas para consultar bancos de dados internos e obter dados de autenticação e credenciais de usuários. Já o UAT-11823 explorou as duas vulnerabilidades para entregar ferramentas de acesso remoto, scripts para coleta de configurações de dispositivos gerenciados e uma variante do implante modular Cyclops Blink, historicamente atribuído ao grupo estatal russo Sandworm.</p><p>O terceiro grupo, rastreado como UAT-11988, explorou o CVE-2026-20316 para obter acesso inicial e, em seguida, usou ferramentas legítimas do próprio FMC para realizar reconhecimento extensivo do ambiente da vítima, coletar credenciais, montar uma lista de endpoints-alvo, desativar ferramentas de segurança e, por fim, implantar o ransomware Qilin em sistemas selecionados.</p><p>A Cisco já havia disponibilizado correções para ambas as falhas antes da divulgação das campanhas. Organizações que utilizam o Secure Firewall Management Center devem confirmar a aplicação dos patches, revisar logs de acesso à interface de administração e monitorar indícios de reconhecimento interno ou uso indevido de ferramentas nativas do produto.</p>