Sandworm e Qilin entraram pela mesma porta do Cisco FMC

Há uma diferença prática entre um firewall comprometido e um gerenciador de firewalls comprometido, e ela não é de grau.

O Secure Firewall Management Center é onde a política nasce. Regras, objetos de rede, listas de bloqueio, assinaturas de intrusão, tudo é escrito ali e empurrado para os aparelhos gerenciados. Quem executa comando como root nesse console não precisa atacar o firewall: ele reescreve o que o firewall considera permitido, e a mudança se propaga com a assinatura legítima do administrador.

Quem está dentro

A Talos separa três clusters, e a leitura deles junto diz mais do que cada um isolado.

Cluster	Atribuição	Falhas usadas	Pós-exploração
UAT-12197	Sem atribuição pública	CVE-2026-20079	Web shell instalado no aparelho e usado para entregar um arquivo JAR malicioso.
UAT-11823	Sandworm, APT russo	As duas, encadeadas	Entrega do Cyclops Blink, malware de persistência em equipamento de borda associado ao grupo.
UAT-11988	Afiliados do Qilin, alta confiança	CVE-2026-20079	Acesso convertido em implantação de ransomware no ambiente da vítima.

Nos três casos, o aparelho comprometido foi usado para instalar web shell, roubar credencial, abrir shell reverso e montar proxy. Ou seja: o FMC não foi o alvo final. Foi o ponto de apoio de onde a rede começa.

A coexistência é o sinal mais importante. Quando espionagem estatal e crime organizado aparecem no mesmo produto ao mesmo tempo, sem sinal de coordenação, geralmente significa que o exploit circulou. Deixou de ser capacidade rara e virou item disponível. A partir daí, a probabilidade de um alvo específico ser atingido deixa de depender do interesse geopolítico que ele desperta e passa a depender apenas de ele estar exposto.

O equipamento de borda continua sendo o elo fraco, e o motivo é estrutural

Vale nomear por que esse tipo de ativo aparece tanto nesta coluna.

• Precisa estar alcançável. A interface de gestão existe para ser acessada por quem administra, e muita organização publica essa interface na internet porque a alternativa é obrigar o time a passar por VPN, o que atrapalha justamente quando a VPN cai.
• Não roda agente. Appliance fechado não aceita EDR. A detecção depende de log enviado pelo próprio aparelho, e quem tem root no aparelho decide o que vai no log.
• Some do inventário. Firewall costuma entrar como infraestrutura, não como servidor. O ciclo de patch dele segue a janela de manutenção de rede, que é mais lenta e mais negociada do que a de sistema operacional.
• Concentra confiança. O console guarda credencial de integração, certificado e, muitas vezes, acesso administrativo a dezenas de aparelhos em sites diferentes.

Nenhum desses quatro pontos se resolve com patch. O patch resolve esta falha. Os quatro pontos continuam válidos para a próxima.

Leitura LATAMSEC

A ação óbvia é aplicar o hot fix, e ela deve ser feita hoje. Duas outras são menos óbvias e provavelmente mais decisivas.

Primeiro: corrigir não é o mesmo que limpar. Três grupos estiveram explorando isso antes do aviso, e todos deixaram artefato para trás. Web shell, shell reverso, proxy e, no caso do Sandworm, malware pensado para sobreviver a atualização de firmware. Uma organização que sobe o hot fix e considera o assunto encerrado pode estar apenas fechando a porta com o visitante do lado de dentro. A revisão precisa incluir contas locais criadas, integrações novas, tarefas agendadas e credencial de serviço que valha rotação.

Segundo: a interface de gestão não deveria estar na internet. É a recomendação mais repetida e menos seguida do setor. Se a sua ainda está, o momento de mudar isso é enquanto existe um caso concreto para justificar a interrupção. Justificativa de mudança envelhece rápido; daqui a três semanas o argumento será abstrato de novo.

Para o comitê de risco, a pergunta cabe em uma linha: quantos dos nossos equipamentos de borda têm a interface administrativa exposta, e quanto tempo levaria para saber se algum deles foi tocado nos últimos noventa dias? A segunda metade da pergunta costuma ser a que não tem resposta.