Cisco FMC com nota 10: a gerência do firewall virou alvo

O que foi publicado

O Secure Firewall Management Center (FMC, antigo Firepower Management Center) é o sistema que centraliza políticas, objetos e atualizações dos firewalls Cisco Secure Firewall Threat Defense. Segundo o aviso da Cisco, uma falha na interface web do FMC permite a um atacante remoto e sem autenticação enviar requisições HTTP forjadas, executar scripts e obter acesso de root ao sistema operacional. A causa é um processo de sistema criado de forma incorreta na inicialização.

A CISA incluiu a falha no catálogo KEV em 9 de setembro de 2026, com prazo de 3 dias (12 de setembro de 2026) para os órgãos federais americanos. Não foi a primeira do FMC no ano:

Entre uma e outra se passaram 42 dias. Para o atacante, o FMC é um alvo valioso: ele tem credenciais e regras de todos os firewalls gerenciados.

Versões corrigidas

A Cisco trocou as correções provisórias (hot fixes) por versões de hardening, que trazem esta correção e outras falhas encontradas internamente. A recomendação é atualizar para elas. Primeira versão corrigida em cada ramo, segundo o aviso:

Quem usa a gerência de firewall na nuvem (Security Cloud Control) não precisa fazer nada: a Cisco informou que a correção já foi aplicada lá. A ferramenta Cisco Software Checker confirma a versão mínima para o seu caso.

Atualizar não basta: procure indícios

A Cisco alerta que as correções impedem novas explorações, mas podem não desfazer um comprometimento anterior. O aviso traz um teste: no modo expert do FMC, procurar nos registros de mensagens a expressão package_info.*license (com zgrep, que lê também os arquivos compactados) e verificar se há referência ao arquivo /var/tmp/license.tmp. Se aparecer, a orientação é acionar o suporte técnico da Cisco imediatamente.

Esse cuidado vale para qualquer falha do catálogo KEV: a diretiva BOD 26-04, que a CISA publicou em junho, passou a exigir dos órgãos americanos uma verificação de comprometimento além da correção.

Seu FMC está alcançável de onde?

Antes de discutir versão, responda a uma pergunta: de onde a interface web do FMC responde? Três testes simples:

1. De fora. A partir de uma conexão externa (um celular fora do Wi-Fi da empresa, ou um servidor na nuvem), tente abrir https://<IP público> de cada endereço publicado pela empresa. Se a tela de login do FMC aparecer, ele está exposto à internet.
2. Da rede de usuários. De uma estação comum, tente abrir a interface. Se abrir, qualquer máquina comprometida na rede de usuários chega ao FMC.
3. Do inventário. Confira as regras de NAT e de publicação no próprio firewall. Uma regra antiga de "acesso do fornecedor" é a causa mais comum de exposição esquecida.

O resultado ideal é a interface só responder a partir da sub-rede de gerência, como no exemplo abaixo.

O que revisar se houve exposição

Se o FMC ficou alcançável por redes não confiáveis antes da correção, a revisão vai além do teste da Cisco:

• contas de usuário locais e externas (LDAP, RADIUS) criadas ou alteradas recentemente;
• chaves e tokens de API, e integrações com outros sistemas;
• histórico de implantação de políticas: alguma regra de acesso ou de NAT foi enviada aos firewalls sem pedido de mudança?
• certificados e senhas que o FMC guarda, como os usados para falar com os firewalls e com o diretório.

Troque as credenciais que o FMC conhece. Se a falha deu root a alguém, tudo o que estava no disco pode ter sido copiado.

Isolando a gerência

Mesmo com a versão certa, a interface de gerência não deveria ser alcançável de qualquer lugar. Uma sub-rede pequena e dedicada resolve. No exemplo, a gerência do FMC fica em 10.255.10.0/28:

Com 14 hosts, cabem o FMC, um servidor de salto (jump host) e algumas estações de administração. A regra de acesso à interface web fica com uma linha só, com a wildcard 0.0.0.15: permit tcp 10.255.10.0 0.0.0.15 host <IP do FMC> eq 443, seguida de um bloqueio para o resto. O acesso dos analistas passa pelo servidor de salto, com autenticação forte e registro.

Também vale conferir o caminho de volta: o FMC precisa falar com os firewalls gerenciados, mas não precisa navegar livremente na internet. Libere só os destinos de atualização e licenciamento que a documentação da Cisco indica.

A calculadora de sub-rede confere máscara, wildcard e faixa do bloco de gerência.

Roteiro rápido

1. Identifique a versão de cada FMC e compare com a tabela de versões corrigidas.
2. Atualize para a versão de hardening do ramo.
3. Rode o teste de indício da Cisco nos registros do FMC.
4. Restrinja a interface web a uma sub-rede de gerência.
5. Revise usuários, chaves e políticas do FMC se ele ficou exposto antes da correção.

Perguntas frequentes

Meus firewalls (FTD) também precisam de atualização?

Esta falha está no FMC. Mas as falhas de firewall Cisco também aparecem no catálogo; confira os avisos dos seus FTD e ASA à parte. O Radar tratou de uma falha de VPN do ASA e do FTD em outra nota.

Meu FMC não está exposto à internet. Posso esperar?

O risco é menor, não nulo: um atacante que entra na rede interna por outro caminho chega ao FMC. Com nota 10,0 e exploração conhecida, a atualização deve entrar na próxima janela disponível.

A CISA manda nas empresas brasileiras?

Não. O prazo vale para órgãos federais dos EUA. O catálogo é útil para todo mundo porque confirma quais falhas estão sendo exploradas de verdade.