Cisco a confirmé l’exploitation active d’une faille de sécurité 0-day très critique dans son logiciel AsyncOS, utilisé par les appliances Secure Email Gateway et Secure Email and Web Manager. Cette vulnérabilité, identifiée comme CVE-2025-20393, permet à des attaquants non authentifiés d’exécuter des commandes arbitraires avec privilèges root, ce qui peut compromettre complètement les systèmes ciblés.
La faille se situe dans la fonctionnalité Spam Quarantine du logiciel AsyncOS lorsque celle-ci est activée et exposée à Internet. En exploitant cette faiblesse, un attaquant peut envoyer des requêtes HTTP spécialement conçues capables de contourner les vérifications d’entrée et de prendre le contrôle de l’appareil affecté.
Exploitation active et acteurs impliqués
La campagne d’exploitation remonterait à novembre 2025, avec des preuves d’activité confirmées à partir du 10 décembre 2025 par Cisco Talos. L’exploitation est attribuée à un groupe de menaces avancé lié à la Chine, connu sous le nom UAT-9686, qui aurait déployé des outils sophistiqués pour maintenir un accès persistant sur les appareils compromis.
Parmi ces outils figurent :
- AquaShell, un backdoor écrit en Python permettant la réception de commandes encodées et leur exécution,
- AquaTunnel, un outil de tunneling SSH inversé,
- Chisel, un proxy TCP/UDP pour le mouvement latéral,
- AquaPurge, un utilitaire supprimant des journaux pour masquer les traces d’intrusion.
Ces techniques permettent aux attaquants de persister sur les systèmes compromis, d’exfiltrer des données sensibles et d’étendre leur présence vers d’autres ressources informatiques de l’organisation.
Impact potentiel
Un appliance de sécurité de messagerie compromis peut entraîner :
- la perte de visibilité sur le trafic e-mail entrant et sortant,
- la facilitation d’attaques de phishing ou malware,
- la persistance cachée au sein du réseau d’entreprise,
- l’accès à des informations sensibles interceptées via les services de messagerie.
La vulnérabilité a reçu un score CVSSv3.1 de 10.0, le niveau le plus élevé, en raison de sa accessibilité réseau, de sa faible complexité et de l’impact total sur la confidentialité, l’intégrité et la disponibilité.
Correctifs et recommandations immédiates
Cisco a publié des mises à jour de sécurité pour corriger cette faille sur les versions affectées de AsyncOS et supprimer les mécanismes de persistance identifiés dans les attaques. Les administrateurs doivent mettre à jour immédiatement leur infrastructure vers les versions corrigées.
Voici les versions corrigées à appliquer selon le logiciel :
- AsyncOS 15.0.5-016,
- 15.5.4-012,
- 16.0.4-016, entre autres.
Cisco continue de recommander de vérifier la configuration de la Spam Quarantine, de limiter l’accès Internet direct de cette fonctionnalité et de suivre les directives du Technical Assistance Center si des signes de compromission sont détectés.
Sources : cisco.com, cybersecuritynews.com
