A falha Cisco sob ataque teve apenas 5,3

Duas classificações numa página, e contradizem-se

Às 16:00 GMT de 29 de julho de 2026 a Cisco publicou um aviso sobre o software do seu Secure Firewall Management Center, e o documento contradiz-se de uma forma que merece leitura atenta. A falha é a CVE-2026-20316, seguida internamente como o erro CSCwt95997. A Cisco atribui-lhe uma pontuação base CVSS versão 3.1 de 5,3, que cai na faixa média, e na mesma página uma classificação de impacto de segurança alta. Os dois números saem de processos diferentes. O primeiro é aritmética aplicada a uma cadeia de vetor. O segundo é um juízo de pessoas que sabem o que o produto faz e onde os clientes o colocam.

Quando um fabricante se sobrepõe à sua própria aritmética, é a sobreposição que serve de sinal. A Cisco não subiu a pontuação, o que teria sido o gesto mais cómodo; deixou o 5,3 de pé e colocou ao lado a classificação qualitativa superior. Essa combinação é a empresa a dizer, nos dois únicos vocabulários de que dispõe, que a fórmula descreve isto corretamente e ainda assim falha o essencial. A maioria das organizações ingere o primeiro número de forma automática e o segundo de todo, porque o primeiro chega por uma interface e o segundo em prosa corrida.

O que o vetor mede e o que deixa de fora

O vetor é AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N, e cada termo faz trabalho honesto. A falha é alcançável pela rede, exige baixa complexidade de ataque, não pede privilégios nem interação do utilizador e não altera o âmbito. Depois os impactos: confidencialidade baixa, integridade nenhuma, disponibilidade nenhuma. Quem a explorar poderá ler algumas coisas e não modificar nada. Entregue à fórmula, isso dá 5,3, e a fórmula não se engana. Respondeu à pergunta que lhe foi feita.

A pergunta que não lhe foi feita é onde está a máquina. O Secure Firewall Management Center é o plano de gestão, a consola a partir da qual a política de firewall é escrita e distribuída por todo o parque. O acesso de leitura nessa máquina não é uma vista de olhos aos dados de um sistema: é reconhecimento do próprio perímetro, dos conjuntos de regras, dos grupos de objetos e de que instalações existem. O CVSS não tem campo para isso. A posição é exatamente aquilo que uma pontuação base exclui de propósito, porque a norma tem de viajar entre organizações que instalam o mesmo produto de maneiras distintas, e o preço dessa portabilidade é que o número não pode conhecer a sua topologia.

Três dias, num relógio que não é o seu

A CISA acrescentou a CVE-2026-20316 ao seu catálogo de vulnerabilidades exploradas conhecidas a 29 de julho, com vencimento a 1 de agosto, ao abrigo da Binding Operational Directive 26-04. A ação exigida diz: aplicar mitigações de acordo com as instruções do fabricante e, se não houver correção disponível, cessar a utilização do produto. O catálogo ultrapassa agora as 1.600 entradas. No campo sobre uso conhecido em campanhas de resgate consta Desconhecido, o que é uma afirmação sobre visibilidade e não sobre segurança.

Essa diretiva obriga as agências civis federais dos Estados Unidos. Não obriga um fabricante de Braga nem um operador logístico de Setúbal, e ninguém deve corrigir a pensar o contrário. O que atravessa o Atlântico intacto é a prova, porque uma entrada no catálogo é a afirmação de um governo de que a exploração foi observada no terreno. Com a NIS2, as entidades essenciais e importantes têm de tratar as vulnerabilidades como matéria de governação, pelo que a decisão acaba escrita nos dois sentidos. O CNCS é a via por onde chegaria um aviso português. Não cumprir conscientemente um prazo federal de três dias é uma posição sustentável, e bem mais frágil sem a nota que a fundamenta.

Uma palavra-passe que ninguém pode mudar

A classe de fraqueza é CWE-259, uso de palavra-passe fixada no código, e a Cisco afirma sem rodeios que existem credenciais estáticas para uma conta de privilégios baixos dentro do software. Essa redação tem consequências operacionais. Uma palavra-passe divulgada muda-se, uma fraca reforça-se, uma pré-definida substitui-se no primeiro arranque. Uma compilada lá dentro não é nada disso: não há campo na consola para ela nem política que a desative. A secção das soluções temporárias diz que não existem, e não é um descuido. Simplesmente não resta nada para desligar.

Seis ramos de versão a carregam, 7.0, 7.2, 7.4, 7.6, 7.7 e 10.0, com correções rápidas emitidas para todos. É o calendário a parte que devia chegar ao comité de alterações. A equipa de segurança de produto da Cisco declara que em Julho de 2026 teve conhecimento de exploração ativa desta vulnerabilidade, o que coloca os ataques antes da correção. Para qualquer janela de julho em que uma consola afetada estivesse alcançável, a leitura honesta é que a credencial era pública para quem a tivesse encontrado e inalcançável para o responsável que era dono da máquina.

Mude a regra de triagem, não apenas o parque

Corrija primeiro e depois vá ver a regra que teria despromovido isto. A maioria das políticas de remediação associa faixas CVSS a prazos: crítica numa semana, alta num mês, média num trimestre. Passe a CVE-2026-20316 por essa lógica e uma falha explorada antes de a sua correção existir cai na gaveta dos noventa dias. A falha não está em alguém ter sido descuidado: está em a política fazer à pontuação uma pergunta a que a pontuação não pode responder, e depois tratar a resposta como uma ordem.

Três mudanças valem a pena esta semana. Introduza uma regra pela qual qualquer entrada do catálogo de vulnerabilidades exploradas herda o prazo mais curto que pratica, seja qual for a pontuação, porque exploração observada é um facto sobre o mundo e uma pontuação base é uma propriedade de uma fórmula. Introduza uma segunda que suba o nível de tudo o que esteja num plano de gestão, dado que a consola que configura um controlo vale mais como alvo do que o controlo. Depois levante que instâncias do Secure Firewall Management Center são alcançáveis do exterior e confirme em cada uma a versão corrigida, porque a correção é o único remédio ao dispor.

Leia a seguir: A ServiceNow corrigiu primeiro a nuvem dela, a sua casa só 103 dias depois  |  A correção foi pública 81 dias antes do aviso