O seu firewall Cisco pode reiniciar sozinho — e já há quem esteja a explorar isso

A Cisco publicou correções de emergência para uma vulnerabilidade de dia zero nos seus firewalls empresariais que está a ser explorada por atacantes para derrubar equipamentos ligados à Internet. A falha, identificada como CVE-2026-20349 e com uma pontuação de gravidade de 8,6, afeta os equipamentos com Cisco Secure Firewall Adaptive Security Appliance (ASA) ou Secure Firewall Threat Defense (FTD) e resulta de verificação insuficiente de erros durante o processamento de pedidos HTTP. O resultado prático é uma condição de negação de serviço: o firewall reinicia, as sessões caem e o acesso remoto fica indisponível.

O que é a CVE-2026-20349 e porque é tão fácil de explorar

A vulnerabilidade vive no ponto mais exposto de qualquer firewall corporativo: o serviço de VPN de acesso remoto, que por definição tem de estar acessível a partir da Internet. Segundo o aviso da Cisco, um atacante pode explorar a falha enviando um pedido HTTP manipulado ao serviço Remote Access SSL VPN de um equipamento afetado, provocando o reinício do dispositivo e uma condição de negação de serviço.

A exploração é possível remotamente, sem autenticação e sem interação do utilizador, quando estão ativos sockets de escuta SSL; entre as configurações vulneráveis contam-se o IKEv2 Remote Access VPN com serviços de cliente, o SSL VPN e o Zero Trust Network Access em equipamentos FTD. No catálogo da CISA, o problema é classificado como uma vulnerabilidade de heap inspection em ASA e FTD que pode permitir a um atacante remoto não autenticado provocar o reinício inesperado do equipamento, resultando numa condição de negação de serviço.

Não sendo uma falha de execução remota de código, o impacto não deve ser subestimado. Um firewall que reinicia repetidamente corta ligações VPN de teletrabalhadores, interrompe túneis para filiais e pode deixar equipas de segurança sem visibilidade sobre o tráfego durante os períodos de indisponibilidade — um cenário particularmente atrativo para quem pretende gerar caos operacional ou preparar terreno para outras ações.

Que equipamentos estão em risco

O critério decisivo não é apenas a versão de software, mas a configuração. Só estão expostos os equipamentos que tenham ativo o serviço de acesso remoto por SSL VPN — ou as funcionalidades associadas identificadas pela Cisco. De acordo com o noticiado a partir do aviso do fabricante, o problema abrange várias famílias de releases de ASA e de FTD com o Remote Access SSL VPN ativado, pelo que a verificação da versão exata deve ser sempre feita na tabela oficial de software corrigido publicada pela Cisco, e não por aproximação.

Há ainda um detalhe relevante para quem gere estes ambientes: o aviso da Cisco não disponibiliza indicadores de compromisso associados à exploração em curso. Isso significa que a deteção depende sobretudo de sinais indiretos — reinícios inesperados, mensagens de crash nos registos do sistema, quedas simultâneas de sessões VPN — e não de uma lista de IOCs pronta a carregar nas ferramentas de monitorização.

Exploração ativa: o que se sabe (e o que não se sabe)

A equipa de resposta a incidentes de produto da Cisco (PSIRT) afirma ter tomado conhecimento da exploração ativa da CVE-2026-20349 em agosto de 2026, sem divulgar informação adicional sobre os ataques, quem os conduz ou que organizações estão a ser visadas; a falha foi descoberta durante testes internos de segurança da Cisco e reportada de forma independente pelo investigador de segurança Valerio Brussani.

Do lado das autoridades, a CISA acrescentou três novas vulnerabilidades ao catálogo Known Exploited Vulnerabilities com base em evidências de exploração ativa, entre elas a CVE-2026-20349 em Cisco Secure Firewall ASA e FTD, a par de uma falha no controlador AFD do Windows e de uma injeção de SQL no Metabase. A inclusão no KEV enquadra-se na diretiva BOD 26-04, que estabelece requisitos de gestão de vulnerabilidades para as agências civis federais norte-americanas e exige a remediação rápida das falhas de risco elevado listadas no catálogo. Vários relatos indicam que o prazo fixado às agências federais para corrigir esta falha é 14 de agosto de 2026.

O que fazer agora, passo a passo

• Inventariar todos os equipamentos ASA e FTD da organização, incluindo os geridos por fornecedores externos ou herdados de projetos antigos.
• Confirmar a exposição verificando se existem sockets de escuta SSL ativos e se estão configuradas funcionalidades de acesso remoto. Uma auditoria à configuração com show running-config permite validar rapidamente que serviços estão ligados e se houve alterações não autorizadas.
• Atualizar para as versões corrigidas indicadas na secção Fixed Software do aviso da Cisco ou aplicar os hotfixes disponibilizados. Em avisos anteriores relativos a falhas de negação de serviço no SSL VPN do ASA/FTD, a Cisco tem sublinhado que existem atualizações de software e que não há soluções de contorno para estas vulnerabilidades — o mesmo princípio se aplica aqui.
• Reduzir a superfície de ataque enquanto a janela de manutenção não é possível: restringir o acesso ao serviço VPN a origens conhecidas, quando o modelo de utilização o permitir, e limitar a exposição de interfaces de gestão.
• Monitorizar reinícios e alarmes de disponibilidade, exportando os registos do firewall para um sistema centralizado que permita correlacionar quedas com padrões de tráfego HTTP anómalo.
• Planear a substituição de hardware em fim de suporte. A Cisco identificou modelos ASA 5500-X — entre os quais os 5506-X, 5508-X e 5516-X — com data final de suporte a 31 de agosto de 2026.

Um padrão que se repete nos equipamentos de perímetro

Esta não é a primeira vez que os firewalls da Cisco estão na linha da frente. Em julho de 2026, a empresa alertou para uma falha de credenciais estáticas no Secure Firewall Management Center (CVE-2026-20316), explorada em ataques de dia zero, que permitia a um atacante remoto e não autenticado iniciar sessão num sistema afetado e aceder a dados sensíveis. E a campanha ArcaneDoor continua a marcar o setor: em abril de 2026, a CISA atualizou a diretiva de emergência ED 25-03 depois de se ter apurado que o autor da ameaça desenvolveu um mecanismo de persistência até então desconhecido, que sobrevive à atualização para as versões corrigidas publicadas em setembro de 2025 e que reside no sistema operativo de base FXOS.

A lição é transversal: os dispositivos de fronteira — firewalls, concentradores VPN, gateways de correio — concentram simultaneamente exposição máxima e visibilidade mínima por parte das ferramentas de deteção tradicionais, o que os torna alvos preferenciais.

Porque é que isto importa às organizações em Portugal

Muitas PME e entidades públicas portuguesas dependem de appliances ASA ou FTD para acesso remoto de colaboradores e ligação a filiais. Uma indisponibilidade prolongada do firewall não é apenas um incidente técnico: pode paralisar faturação, suporte a clientes e acesso a sistemas críticos.

Com a entrada em vigor do Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), as entidades abrangidas passam a ter obrigações reforçadas de gestão de risco e de notificação de incidentes com impacto significativo, incluindo os que afetam a disponibilidade dos serviços. Um processo documentado de gestão de vulnerabilidades — inventário, avaliação, prazos de correção e registo das decisões — deixa de ser boa prática e passa a ser matéria de conformidade. O CNCS e o CERT.PT publicam regularmente alertas sobre vulnerabilidades em produtos Cisco, que devem ser integrados nos fluxos internos de patching.

Já no plano da proteção de dados, esta falha não implica, por si só, acesso a informação pessoal. Ainda assim, o RGPD impõe medidas técnicas adequadas para assegurar a disponibilidade e a resiliência dos sistemas — e um equipamento de segurança conhecido como vulnerável e deixado por corrigir dificilmente resiste a um escrutínio nesse ponto.

Perguntas frequentes

Existe alguma solução de contorno se não puder atualizar já?

Não. A Cisco tem indicado, em avisos equivalentes sobre negação de serviço no Remote Access SSL VPN, que não existem workarounds e que a correção passa pela atualização de software. Como medida temporária, pode restringir o acesso ao serviço VPN a origens conhecidas e reforçar a monitorização de reinícios, mas isso não elimina o risco.

Como sei se o meu firewall está exposto?

A exposição depende de existirem sockets de escuta SSL ativos para acesso remoto. Verifique a configuração em execução com show running-config, confirme se estão ativas funcionalidades como SSL VPN, IKEv2 Remote Access VPN com serviços de cliente ou Zero Trust Network Access, e compare a versão instalada com a tabela de software corrigido do aviso oficial da Cisco.

Esta falha permite roubar dados ou instalar malware?

Pelo que foi divulgado, o impacto descrito pela Cisco é a negação de serviço, com reinício do equipamento. Não há, até ao momento, indicação pública de execução de código ou exfiltração de dados associada à CVE-2026-20349. Ainda assim, a indisponibilidade do firewall pode ser usada como distração ou como parte de uma cadeia de ataque mais ampla.

Que indicadores de compromisso devo procurar?

A Cisco não publicou indicadores de compromisso para esta exploração. Na prática, os sinais a vigiar são operacionais: reinícios inesperados do equipamento, quedas simultâneas de sessões VPN, mensagens de erro no processamento HTTP e picos de pedidos anómalos dirigidos ao serviço de acesso remoto.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Cisco, pela CISA e por investigadores de segurança.