Em agosto de 2026 a Cisco publicou 27 avisos de segurança. Nenhum deles virou notícia no Brasil, e a maioria dos provedores regionais não ficou sabendo de nenhum. O problema não é a Cisco — é que o fluxo de avisos de fabricante é contínuo, chega em inglês, e não existe rotina definida para lidar com ele na maior parte dos ISPs. Este artigo usa o lote de agosto como caso concreto para montar essa rotina: como separar o que exige ação do que é ruído, e o que fazer quando o próprio fabricante avisa que não há solução de contorno.

Neste artigo

• 27 avisos em um mês: o tamanho do fluxo
• A primeira pergunta: eu tenho esse equipamento?
• A nota CVSS, e por que ela não decide sozinha
• “Não há solução de contorno” — o que essa frase significa
• O aviso que independe de configuração
• Uma rotina de 30 minutos por mês
• Além da Cisco: onde ficam os avisos dos outros fabricantes

27 avisos em um mês: o tamanho do fluxo

O número acima não é estimativa: são os avisos com data de agosto de 2026 no canal oficial de publicações de segurança da Cisco. Em julho foram 10, em junho 9. Agosto foi um mês pesado, e concentrado — só no dia 19 saíram seis avisos de uma vez.

Esse é o primeiro dado que muda a postura de quem opera rede: não se trata de um evento raro. É fluxo constante, e fluxo constante pede processo, não reação. Um provedor que só descobre a falha quando o equipamento apresenta problema está sempre atrasado em relação a uma informação que estava pública e gratuita.

Vale situar de onde vem essa responsabilidade. Manter a rede em condições de operar não é só boa prática de engenharia: é parte do que se assume ao receber a outorga Anatel. Continuidade e qualidade do serviço prestado são obrigações da prestadora, e uma interrupção causada por falha conhecida e não corrigida é uma história difícil de contar depois.

A primeira pergunta: eu tenho esse equipamento?

A triagem começa e quase sempre termina aqui. Dos 27 avisos de agosto, boa parte trata de produtos que um provedor regional brasileiro não tem na rede — plataformas de contact center, sistemas de colaboração, ferramentas corporativas. Ler o título e conferir o inventário resolve a maioria dos casos em segundos.

O que sobra do lote de agosto, para quem opera infraestrutura de rede, é curto e vale conhecer pelos nomes:

• Secure Firewall ASA e Threat Defense — CVE-2026-20349, nota 8.6, publicado em 11 de agosto
• BroadWorks — CVE-2026-20320, nota 7.5, publicado em 19 de agosto
• Catalyst SD-WAN Manager — CVE-2026-20294, nota 6.5, publicado em 7 de agosto
• Switches Industrial Ethernet série 1000 — dois avisos no dia 19: CVE-2026-20232, nota 5.4, e CVE-2026-20177, nota 5.3
• Secure Firewall Management Center — CVE-2026-20316, nota 5.3, credencial estática, publicado em 11 de agosto

Se nenhum desses nomes está na sua rede, o lote de agosto não exige ação sua — e chegar a essa conclusão com segurança, em cinco minutos, já é o resultado que a rotina precisa entregar. Esse mesmo raciocínio de inventário é o que sustenta a organização técnica exigida em outras frentes, como as obrigações das prestadoras de pequeno porte.

A nota CVSS, e por que ela não decide sozinha

Todo aviso vem com uma nota de 0 a 10 — o CVSS. É útil para ordenar a fila, mas ela mede a gravidade técnica da falha em abstrato, não o risco na sua rede.

Um exemplo do próprio lote: a falha do Secure Firewall ASA e Threat Defense tem nota 8.6, a mais alta de agosto. Se você não usa firewall Cisco, essa nota vale zero para você. Já a falha nos switches Industrial Ethernet, com nota 5.3, é irrelevante para quem não os tem — e é o item mais urgente da lista para quem os usa em uma estação remota.

A ordem correta é sempre inventário primeiro, nota depois. Nota alta em equipamento que você não tem não é prioridade; nota média em equipamento que sustenta o seu backbone é.

“Não há solução de contorno” — o que essa frase significa

Três dos avisos de agosto trazem, com todas as letras, a frase que fecha as saídas: não existem soluções de contorno que resolvam esta vulnerabilidade. Aparece no aviso do Secure Firewall ASA e Threat Defense, no do BroadWorks e no da negação de serviço dos switches Industrial Ethernet.

Vale entender o peso disso. Quando existe contorno, o administrador pode desabilitar um recurso, fechar uma porta ou mudar uma configuração e comprar tempo até a janela de manutenção. Quando o fabricante declara que não há contorno, a única correção é atualizar o software. Não há meio-termo, não há mitigação parcial, e adiar significa permanecer exposto pelo tempo inteiro do adiamento.

Na prática, isso muda a conversa interna: deixa de ser “quando der, a gente atualiza” e passa a ser “qual é a próxima janela de manutenção possível”. A decisão de assumir o risco até lá é legítima — mas precisa ser consciente e registrada, não o resultado de ninguém ter lido o aviso.

O aviso que independe de configuração

Um detalhe do lote de agosto merece destaque porque contraria a intuição mais comum. No aviso de negação de serviço dos switches Industrial Ethernet série 1000, a Cisco registra que a vulnerabilidade afeta os equipamentos independentemente da configuração do dispositivo.

A reação natural de quem administra rede, ao ler sobre uma falha, é conferir se a função vulnerável está ativa. Na maioria dos casos isso funciona — muitos avisos só valem para quem habilitou determinado recurso. Aqui, não: estar com o equipamento em produção já basta. É por isso que ler o texto do aviso, e não só o título, muda a decisão. Quem parasse no título poderia supor que a falha depende de uma configuração específica e concluir, errado, que está fora do alcance.

Uma rotina de 30 minutos por mês

Não é preciso montar um centro de operações de segurança para dar conta disso. O que resolve, para um provedor regional, é uma rotina simples e repetível.

1. Ter o inventário escrito. Marca, modelo e versão de firmware de cada equipamento em produção. Sem isso, nenhuma triagem é possível — e essa é a etapa que costuma faltar, não a leitura dos avisos.
2. Assinar o canal de avisos de cada fabricante que você tem. São gratuitos e públicos.
3. Uma vez por mês, cruzar as duas listas. Só o que aparece nas duas exige leitura completa.
4. Para o que exige ação, registrar a decisão. Atualizou, na data tal; ou decidiu adiar, por este motivo, até esta data. O registro é o que transforma exposição em risco assumido conscientemente.
5. Guardar o histórico. Em caso de incidente, mostrar que existia processo vale mais do que ter tido sorte.

O item 1 é o que trava a maioria das operações, e ele não é um problema de segurança — é de cadastro. O mesmo inventário que serve para a triagem de avisos é o que sustenta as declarações que a empresa presta à agência e a coerência dos recursos de numeração no Registro.br e do ASN com o que está de fato em produção. Quem mantém um só inventário atende às duas frentes; quem mantém dois acaba com nenhum confiável.

Vale lembrar que a responsabilidade pelas decisões técnicas da rede tem dono formal: é o responsável técnico junto ao CFT quem responde por elas. Manter esse registro organizado é tanto boa prática de segurança quanto proteção de quem assina.

Além da Cisco: onde ficam os avisos dos outros fabricantes

A Cisco serviu de exemplo por ter o canal mais organizado, mas o parque de um provedor regional brasileiro raramente é Cisco. A boa notícia é que os fabricantes que realmente aparecem nessas redes também publicam — em formatos diferentes, o que costuma ser a razão de ninguém acompanhar.

• MikroTik publica os lançamentos do RouterOS com as notas de versão. É onde aparece o que mudou em cada release, incluindo correções.
• Ubiquiti mantém uma lista pública de firmware por produto, com a data de cada versão.
• TP-Link e Zyxel publicam avisos de segurança em páginas próprias, com o CVE de cada caso.

O ponto que fecha o raciocínio: nenhum desses canais avisa você. São todos de consulta ativa. A diferença entre o provedor que se atualiza e o que descobre a falha pelo cliente reclamando não é acesso à informação — a informação é pública e gratuita. É ter, ou não ter, a rotina de olhar. E manter a operação em ordem nesse nível técnico conversa diretamente com a regularidade que a agência cobra em outras frentes, tema que reunimos em como legalizar um provedor de internet.

Fonte: Cisco Security Advisories — canal oficial de publicações do PSIRT da Cisco. Avisos, identificadores CVE e notas CVSS conferidos nos textos publicados em agosto de 2026, consultados em 31 de agosto de 2026.