Cisco potwierdziło aktywne wykorzystywanie krytycznej luki zero-day umożliwiającej zdalne wykonanie kodu, dotyczącej urządzeń Cisco Secure Email Gateway (SEG) oraz Secure Email and Web Manager (SEWM).
🆔 Luka, oznaczona jako CVE-2025-20393 (CVSS 10,0), pozwala nieuwierzytelnionym atakującym wykonywać dowolne polecenia z uprawnieniami root za pomocą spreparowanych żądań HTTP skierowanych do funkcji Spam Quarantine w Cisco AsyncOS.
Co wiemy do tej pory:
- Wykorzystywanie luki zaobserwowano w atakach od listopada 2025 roku
- Cisco dowiedziało się o atakach 10 grudnia 2025 roku
- Luka dotyczy systemów, w których funkcja Spam Quarantine jest włączona i wystawiona do internetu (zazwyczaj port 6025)
- Funkcja ta nie jest domyślnie włączona, ale jej wystawienie drastycznie zwiększa ryzyko
Aktywność aktora zagrożeń:
Cisco Talos przypisuje kampanię aktorowi UAT-9686 (UNC-9686), powiązanemu z Chinami, na podstawie zbieżności narzędzi ze znanymi grupami APT.
Atakujący wdrażają:
- AquaShell (backdoor w Pythonie zapewniający trwałość)
- AquaTunnel / Chisel (odwrotne tunelowanie SSH do ruchu bocznego)
- AquaPurge (czyszczenie dzienników w celu uniknięcia wykrycia)
Cele obejmują telekomunikację i infrastrukturę krytyczną, a działania koncentrują się głównie na szpiegostwie, a nie na ransomware.
Reakcja i ograniczanie ryzyka:
- Cisco wydało poprawione wersje dla wszystkich dotkniętych wydań
- Nie istnieją żadne obejścia
- Mechanizmy trwałości są usuwane w ramach procesu instalacji poprawek
- CISA dodała CVE-2025-20393 do katalogu KEV, wymagając szybkiego usunięcia zagrożenia
✅ Zdecydowanie zaleca się dodatkowe utwardzenie zabezpieczeń:
- Ogranicz wystawienie interfejsu zarządzania
- Oddziel płaszczyzny poczty i zarządzania
- Wyłącz niepotrzebne usługi (HTTP/FTP)
- Stosuj silne uwierzytelnianie (SAML / LDAP)
- Monitoruj dzienniki zewnętrznie i zweryfikuj status przejęcia z Cisco TAC
☁️ Usługi Cisco Secure Email Cloud nie są dotknięte.
Jeśli używasz urządzeń Cisco Secure Email, natychmiastowa instalacja poprawek i przegląd ekspozycji mają kluczowe znaczenie.
