Cisco ha lanciato un avviso urgente su una vulnerabilita zero day di gravita massima che interessa Cisco AsyncOS, il software alla base di Cisco Secure Email Gateway e Cisco Secure Email and Web Manager. La falla, identificata come CVE 2025 20393 con punteggio CVSS 10.0, risulta gia sfruttata attivamente in attacchi mirati. Il problema nasce da una validazione impropria dell input e permette a un attaccante di eseguire comandi arbitrari con privilegi di root sul sistema operativo dell appliance, con impatti potenzialmente critici sulla sicurezza della posta elettronica aziendale.
Le attivita malevole sono state osservate almeno dalla fine di novembre 2025 e hanno colpito un numero limitato di dispositivi esposti, in particolare quelli con specifiche porte raggiungibili da internet. Un aspetto centrale riguarda la funzione Spam Quarantine, che non e abilitata di default ma diventa un fattore di rischio quando e configurata e pubblicata online. In pratica, la combinazione tra Spam Quarantine attiva e accessibile da internet crea le condizioni per lo sfruttamento.
Persistenza e strumenti osservati
Negli incidenti analizzati e stata rilevata anche la presenza di meccanismi di persistenza, cioe tecniche che consentono agli attaccanti di mantenere un certo controllo anche dopo interventi di contenimento. Tra gli strumenti associati alla campagna figurano utility di tunneling come ReverseSSH e Chisel, utili per creare canali di accesso remoto, oltre a un tool di pulizia dei log chiamato AquaPurge. E stato inoltre segnalato un backdoor leggero in Python, denominato AquaShell, capace di ricevere comandi codificati tramite richieste HTTP POST non autenticate e di eseguirli nella shell di sistema.
Mitigazioni consigliate in assenza di patch
In assenza di una patch, le mitigazioni consigliate puntano a ridurre drasticamente la superficie di attacco. Tra le azioni piu importanti ci sono:
- Limitare o bloccare l accesso da internet ai servizi esposti.
- Mettere l appliance dietro firewall, consentendo traffico solo da host fidati.
- Separare rete di gestione e rete di posta su interfacce diverse.
- Monitorare i web log per traffico anomalo.
- Disabilitare HTTP sul portale principale di amministrazione.
- Disattivare i servizi non necessari.
- Adottare autenticazione robusta (SAML o LDAP).
- Cambiare la password amministratore predefinita.
In caso di compromissione confermata, la ricostruzione dell appliance e indicata come unica opzione efficace per rimuovere la persistenza.
