A CISA adicionou a CVE-2026-20316 ao catálogo de Vulnerabilidades Conhecidamente Exploradas em 29 de julho de 2026, confirmando exploração ativa de uma falha de credenciais estáticas no Cisco Secure Firewall Management Center (FMC). A vulnerabilidade permite que um atacante remoto não autenticado faça login em dispositivos afetados usando uma conta de baixo privilégio embutida no sistema, com prazo de correção definido para 1º de agosto de 2026. A Cisco classificou o impacto como High por permitir escalonamento de privilégios quando combinada com outras falhas do produto, e já liberou hotfixes para as versões suportadas.
O que a falha expõe
Segundo o registro CVE publicado pelo NVD, a vulnerabilidade reside na interface web do Cisco Secure FMC e decorre da presença de credenciais estáticas associadas a uma conta de baixo privilégio. O tipo de fraqueza registrado é CWE-259, uso de senha codificada de forma fixa no produto. Um atacante remoto não autenticado pode explorar essas credenciais para autenticar-se no sistema e acessar dados sensíveis como usuário de baixo privilégio.
A Cisco observa que, se a interface de gerenciamento do FMC não estiver exposta à internet pública, a superfície de ataque associada diminui. Isso não elimina o risco, pois a conta pode servir como ponto inicial para escalar privilégios combinando a falha com outras vulnerabilidades do produto. Esse padrão de credenciais permanentes codificadas no firmware ou software já motivou alertas anteriores, como o caso das credenciais fixas no sistema de navegação NAVTOR NavBox, alertado pela CISA em junho de 2026.
Impacto e classificação da Cisco
A Cisco atribuiu à CVE-2026-20316 uma pontuação-base CVSS 3.1 de 5,3, classificada como MEDIUM, com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N. Apesar da pontuação moderada, a Cisco elevou o Security Impact Rating (SIR) para High, e não para Medium como o escore indicaria. O motivo declarado pela fabricante é que esta vulnerabilidade pode ser combinada com outras falhas do Cisco Secure FMC para escalar privilégios, ampliando o impacto para além do acesso isolado a uma conta de baixo privilégio.
No vetor CVSS 3.1, AV:N indica ataque pela rede, AC:L indica baixa complexidade, PR:N dispensa privilégios prévios e UI:N dispensa interação do usuário. O impacto direto sobre confidencialidade é classificado como Low (C:L), sem efeito sobre integridade (I:N) ou disponibilidade (A:N). No catálogo KEV, a CISA registrou exploração ativa, automação possível e impacto técnico parcial, com data de adição em 29 de julho de 2026 e prazo final de correção em 1º de agosto de 2026. Para comparar com outra entrada recente do KEV, consulte a análise da CVE-2026-58644 no SharePoint, onde a presença no catálogo reordenou prioridades de correção com base em evidência real de exploração.
Versões afetadas e correção
A vulnerabilidade afeta múltiplas linhas de versão do Cisco Secure FMC, da 7.0.0 até a 10.0.1. A Cisco publicou o advisory em 29 de julho de 2026 e o atualizou para a versão 1.2 em 31 de julho de 2026, incluindo instruções para identificar sinais de comprometimento e orientação para contatar o Cisco TAC em caso de suspeita. A tabela abaixo resume os releases com hotfixes disponíveis:
| Release FMC | Versões afetadas | Hotfix |
|---|---|---|
| 7.0 | 7.0.0 a 7.0.9 | Hotfix GB-7.0.9.1-3 |
| 7.2 | 7.2.0 a 7.2.11 | Hotfix HL-7.2.11.1-4 |
| 7.4 | 7.4.0 a 7.4.7 | Hotfix HG-7.4.7.1-3 |
| 7.6 | 7.6.0 a 7.6.5 | Hotfix CY-7.6.5.1-2 |
| 7.7 | 7.7.0 a 7.7.12 | Hotfix AM-7.7.12.1-2 |
| 10.0 | 10.0.0 a 10.0.1 | Hotfix P-10.0.1.1-2 |
O NVD também lista as versões 7.3.0 a 7.3.1.2 como afetadas, embora o advisory da Cisco não inclua um hotfix específico para essa linha. Organizações que executam FMC 7.3 devem contatar o Cisco TAC para obter orientação de correção.
Como responder à falha
A ação exigida pela CISA é aplicar as mitigações conforme as instruções do fabricante, cumprindo a BOD 26-04 e os requisitos de triagem forense. O campo sobre uso conhecido em campanhas de ransomware permanece como “Unknown” no catálogo, portanto exploração ativa e associação a ransomware não devem ser tratadas como sinônimos. A decisão de priorização deve basear-se na presença no KEV, na versão instalada e na exposição real do ativo à internet.
- Levante o inventário completo de todas as instâncias do Cisco Secure FMC, incluindo versão exata instalada em cada nó.
- Verifique se cada interface de gerenciamento está exposta à internet pública; restrinja o acesso à rede de gerenciamento sempre que possível.
- Identifique o hotfix correspondente à versão instalada na tabela acima e baixe-o do portal de suporte da Cisco.
- Aplique o hotfix em cada instância afetada seguindo o procedimento oficial de instalação da Cisco.
- Verifique os sinais de comprometimento descritos no advisory e, em caso positivo, contate o Cisco TAC imediatamente.
- Registre versão anterior, hotfix aplicado, versão posterior e resultado da verificação para fins de auditoria e triagem forense.