Cisco ha annunciato mercoledì che gli hacker stanno sfruttando una vulnerabilità critica zero-day in molti dei suoi prodotti più diffusi, consentendo il pieno controllo dei dispositivi interessati. Al momento non sono disponibili patch.
L’azienda ha rivelato la campagna di hacking in un avviso di sicurezza, affermando di aver scoperto l’attività il 10 dicembre. Gli attacchi prendono di mira il software Cisco AsyncOS utilizzato in dispositivi fisici e virtuali, tra cui Cisco Secure Email Gateway, Cisco Secure Email e Web Manager. I dispositivi vulnerabili hanno la funzione “Quarantena spam” abilitata e sono accessibili da Internet. Cisco ha notato che questa funzionalità non è abilitata per impostazione predefinita e non richiede l’esposizione a Internet.
Michael Taggart, ricercatore senior sulla sicurezza informatica presso l’UCLA Health Sciences, ha dichiarato a TechCrunch che “il requisito di un’interfaccia di gestione rivolta a Internet e l’abilitazione di alcune funzionalità limiteranno la superficie di attacco per questa vulnerabilità”.
Kevin Beaumont, un ricercatore di sicurezza che tiene traccia delle campagne di hacking, ha descritto la situazione a TechCrunch come particolarmente problematica. Ha sottolineato che molte grandi organizzazioni utilizzano i prodotti interessati, non esistono patch e la durata delle backdoor degli hacker nei sistemi compromessi rimane poco chiara. Cisco non ha rivelato il numero di clienti interessati.
La portavoce di Cisco, Meredith Corley, ha dichiarato a TechCrunch che la società “sta indagando attivamente sul problema e sviluppando una soluzione permanente”. Lei non ha risposto ad ulteriori domande. Nell’avviso, Cisco consiglia di cancellare e ricostruire le apparecchiature interessate come unica opzione attuale per rimuovere i meccanismi di persistenza degli autori delle minacce. L’avviso afferma: “In caso di compromissione confermata, la ricostruzione degli apparecchi è, attualmente, l’unica opzione praticabile per sradicare il meccanismo di persistenza degli autori delle minacce dall’apparecchio.”
Cisco Talos, il team di intelligence sulle minacce dell’azienda, ha collegato gli hacker alla Cina e a noti gruppi di hacker governativi cinesi in un post sul blog. Talos ha riferito che gli autori stanno sfruttando la vulnerabilità zero-day per installare backdoor persistenti. La campagna è attiva almeno dalla fine di novembre 2025.
