Cisco confirma exploração de falha CVE-2026-20079 no Secure FMC em ataques

10 de Setembro de 2026 Atualizado em 10 de Setembro de 2026

A Agência de Cibersegurança e Segurança de Infraestrutura dos Estados Unidos, a CISA, incluiu na quarta-feira três falhas que afetam produtos da Cisco, Citrix e Fortinet em seu catálogo Known Exploited Vulnerabilities, o KEV. Com isso, órgãos do Poder Executivo Civil Federal, o FCEB, precisam aplicar os patches até 12 de setembro de 2026.

As vulnerabilidades são as seguintes:

CVE-2026-20079 , com pontuação CVSS 10,0, é uma falha de bypass de autenticação na interface web do Cisco Secure Firewall Management Center, o FMC Software. O problema pode permitir que um atacante remoto e sem autenticação contorne o mecanismo de autenticação, execute arquivos de script em um dispositivo afetado e obtenha acesso root ao sistema operacional subjacente.

CVE-2026-19490 , com pontuação CVSS 9,3, é uma falha de bypass de autenticação no Citrix NetScaler ADC e no NetScaler Gateway quando o appliance está configurado como um servidor virtual AAA ou como Gateway, incluindo SSL VPN, ICA Proxy, CVPN ou RDP Proxy.

CVE-2025-25249 , com pontuação CVSS 7,3, é uma vulnerabilidade de heap-based buffer overflow no Fortinet FortiOS, FortiSwitchManager e FortiSASE. Ela pode permitir que um atacante remoto e sem autenticação execute código ou comandos arbitrários por meio de requisições especialmente elaboradas.

A decisão ocorre após a Cisco atualizar seu aviso sobre a CVE-2026-20079 para informar que tomou conhecimento de esforços de exploração ativa contra a falha em agosto de 2026. A empresa não divulgou mais detalhes.

Nos últimos anos, roteadores e appliances da Cisco se tornaram um alvo frequente de ataques. Em um relatório publicado no fim do mês passado, a Sygnia afirmou ter observado um grupo de ciberespionagem com ligação à China, apelidado de Fire Ant, obtendo acesso não autorizado a roteadores Cisco IOS XR e abusando desse acesso para manter persistência, coletar dados e avançar ainda mais em redes de alto valor com o uso de malware personalizado.

“Esse comportamento muda o papel do roteador de um dispositivo de trânsito para uma plataforma de coleta”, observou a empresa de cibersegurança. “Depois que o ator assumia o controle do roteador, o dispositivo passava a ser um ponto privilegiado para observar o tráfego que circulava por caminhos de rede confiáveis.”

Já a CVE-2026-19490 vem sendo alvo de atividade de exploração contra sistemas honeypot da Previdian, com um total de 56 tentativas registradas desde 3 de setembro de 2026. Dessas, 36 ocorreram apenas em 8 de setembro de 2026.

A inclusão da CVE-2025-25249 no catálogo KEV vem após um relatório da SOCRadar sobre uma campanha maliciosa que, segundo a empresa, teria transformado a falha em arma para distribuir um trojan de acesso remoto, o RAT, em Node.js, batizado de PivotC2. O framework pós-exploração oferece recursos como shells interativos, tunelamento, varredura de rede e coleta de configurações.

Estima-se que mais de 3.000 endereços IP tenham sido alvo da campanha, resultando na infecção de 178 dispositivos com o PivotC2. A maior parte dos compromissos está concentrada nos Estados Unidos. A atividade é atribuída a um threat actor que fala russo e é motivado por ganho financeiro. As primeiras evidências de exploração ativa da falha datam de julho de 2026.

Nos ataques observados, um shell script que inclui um exploit binário mira uma instância vulnerável do FortiGate para estabelecer uma reverse shell e executar um comando JavaScript de linha única via Node.js. Isso leva ao download de um payload JavaScript de segunda etapa, que é descriptografado e executado para entregar o PivotC2.

“O PivotC2 estabelece uma conexão TLS de saída persistente com um servidor remoto de command and control, o C2. Seu conjunto de recursos inclui shells interativos, transferências de arquivos, tunelamento por proxy SOCKS5/HTTP, encaminhamento de portas local e remoto, varredura de intervalos CIDR e coleta de configurações específicas do FortiGate, além da descriptografia de credenciais”, afirmou a SOCRadar. “Uma flag de modo automático permite operações autônomas, executando automaticamente uma sequência de comandos predefinida após a infecção inicial.”

Os achados reforçam, mais uma vez, que threat actors seguem vasculhando dispositivos expostos na borda da rede para obter acesso inicial, aproveitando a falta de monitoramento robusto ou de registro detalhado de telemetria. A SOCRadar recomenda que organizações que usam produtos da Fortinet limitem o acesso à internet, busquem indicators of compromise, façam rotação de credenciais e apliquem os patches mais recentes.

Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...