Cisco официално пусна корекция за zero-day уязвимост с максимална тежест, която от ноември 2025 г. насам е била активно експлоатирана срещу Cisco Secure Email Gateway (SEG) и Secure Email and Web Manager (SEWM) устройства. Уязвимостта е регистрирана като CVE-2025-20393 и засяга Cisco AsyncOS.

Проблемът беше публично разкрит от Cisco през декември 2025 г., след като бяха установени реални атаки срещу организации с изложени на интернет пощенски шлюзове.

Какво представлява уязвимостта

CVE-2025-20393 е резултат от некоректна проверка на входни данни (improper input validation), която позволява на атакуващите:

• да изпълняват произволни команди,

• с root привилегии,

• директно върху операционната система на засегнатото устройство.

Cisco уточнява, че уязвимостта не засяга стандартните конфигурации, а само системи, при които:

• е активирана функцията Spam Quarantine;

• тя е изложена директно към интернет;

• устройството работи с нестандартна конфигурация.

Въпреки това, подобни конфигурации са често срещани в реални среди, особено при организации с външно достъпни пощенски шлюзове.

Активна експлоатация от китайска APT група

Според анализа на Cisco Talos, зад атаките стои китайска държавно подкрепяна група, проследявана като UAT-9686. Оценката е с умерена степен на сигурност, но използваните инструменти, инфраструктура и тактики ясно съвпадат с други известни китайски APT кампании.

След компрометиране на устройствата, атакуващите са внедрявали:

• AquaShell – персонализиран persistent backdoor;

• AquaTunnel и Chisel – reverse-SSH тунели за отдалечен достъп;

• AquaPurge – инструмент за изчистване на логове, с цел прикриване на следите.

Важно е, че AquaTunnel и сходни инструменти вече са били наблюдавани в операции на групи като APT41 и UNC5174, което допълнително подкрепя атрибуцията към китайски заплахи от държавно ниво.

Реакция на CISA и федералните изисквания

На 17 декември 2025 г. американската агенция CISA добави CVE-2025-20393 към каталога си с известно експлоатирани уязвимости (KEV).

Съгласно Binding Operational Directive 22-01, всички федерални агенции получиха разпореждане:

• да оценят експозицията си;

• да проверят за индикатори за компрометиране;

• да приложат указанията на Cisco до 24 декември 2025 г.

CISA подчерта, че подобни уязвимости са честа входна точка за сериозни кибероперации и представляват висок риск за държавни и корпоративни среди.

Какво трябва да направят организациите

Cisco публикува подробен advisory с инструкции за ъпгрейд към защитени версии на AsyncOS. Освен незабавното обновяване, се препоръчва:

• преглед на интернет-експонирани SEG и SEWM устройства;

• анализ за наличие на AquaShell, reverse SSH тунели и изтрити логове;

• ограничаване на външния достъп до Spam Quarantine интерфейсите;

• засилено наблюдение за необичайна root активност.

В контекста на нарастващите APT операции срещу инфраструктурни и комуникационни системи, този инцидент още веднъж подчертава колко критични са пощенските шлюзове като първоначална точка за пробив.