Cisco maakte woensdag bekend dat hackers misbruik maken van een kritieke zero-day-kwetsbaarheid in verschillende van zijn populaire producten, waardoor de getroffen apparaten volledig kunnen worden overgenomen. Er zijn momenteel geen patches beschikbaar.
Het bedrijf maakte de hackcampagne bekend in een beveiligingsadvies en verklaarde dat het de activiteit op 10 december had ontdekt. De aanvallen zijn gericht op Cisco AsyncOS-software die wordt gebruikt in fysieke en virtuele apparaten, waaronder Cisco Secure Email Gateway, Cisco Secure Email en Web Manager. Op kwetsbare apparaten is de functie “Spam Quarantaine” ingeschakeld en deze zijn toegankelijk via internet. Cisco merkte op dat deze functie niet standaard is ingeschakeld en geen internetblootstelling vereist.
Michael Taggart, een senior cybersecurity-onderzoeker bij UCLA Health Sciences, vertelde TechCrunch dat “de vereiste van een op internet gerichte beheerinterface en het inschakelen van bepaalde functies het aanvalsoppervlak voor deze kwetsbaarheid zullen beperken.”
Kevin Beaumont, een beveiligingsonderzoeker die hackcampagnes bijhoudt, beschreef de situatie tegenover TechCrunch als bijzonder problematisch. Hij wees erop dat veel grote organisaties de getroffen producten gebruiken, dat er geen patches bestaan en dat de duur van de backdoors van de hackers in gecompromitteerde systemen onduidelijk blijft. Cisco heeft het aantal getroffen klanten niet bekendgemaakt.
Cisco-woordvoerder Meredith Corley vertelde TechCrunch dat het bedrijf “het probleem actief onderzoekt en een permanente oplossing ontwikkelt.” Op aanvullende vragen heeft zij niet gereageerd. In het advies adviseert Cisco het wissen en opnieuw opbouwen van getroffen apparaten als de enige huidige optie om de persistentiemechanismen van de bedreigingsactoren te verwijderen. Het advies stelt: “In geval van een bevestigd compromis is het opnieuw opbouwen van de apparaten momenteel de enige haalbare optie om het persistentiemechanisme van de bedreigingsactoren uit het apparaat uit te roeien.”
Cisco Talos, het dreigingsinformatieteam van het bedrijf, koppelde de hackers in een blogpost aan China en bekende hackgroepen van de Chinese overheid. Talos meldde dat de actoren de zero-day-kwetsbaarheid gebruiken om hardnekkige achterdeurtjes te installeren. De campagne is in ieder geval sinds eind november 2025 actief.
