Cisco gab am Mittwoch bekannt, dass Hacker eine kritische Zero-Day-Schwachstelle in mehreren seiner beliebten Produkte ausnutzen und so die vollständige Übernahme betroffener Geräte ermöglichen. Derzeit sind keine Patches verfügbar.
Das Unternehmen gab die Hacking-Kampagne in einem Sicherheitshinweis bekannt und gab an, die Aktivität am 10. Dezember entdeckt zu haben. Die Angriffe zielen auf Cisco AsyncOS-Software ab, die in physischen und virtuellen Geräten verwendet wird, darunter Cisco Secure Email Gateway, Cisco Secure Email und Web Manager. Auf anfälligen Geräten ist die Funktion „Spam-Quarantäne“ aktiviert und sie sind über das Internet zugänglich. Cisco hat darauf hingewiesen, dass diese Funktion standardmäßig nicht aktiviert ist und keine Internetverbindung erfordert.
Michael Taggart, ein leitender Cybersicherheitsforscher an der UCLA Health Sciences, sagte gegenüber TechCrunch, dass „die Anforderung einer mit dem Internet verbundenen Verwaltungsschnittstelle und der Aktivierung bestimmter Funktionen die Angriffsfläche für diese Schwachstelle begrenzen wird.“
Kevin Beaumont, ein Sicherheitsforscher, der Hacking-Kampagnen verfolgt, beschrieb die Situation gegenüber TechCrunch als besonders problematisch. Er wies darauf hin, dass viele große Organisationen die betroffenen Produkte verwenden, es keine Patches gebe und die Dauer der Hintertüren der Hacker in kompromittierten Systemen unklar sei. Cisco hat die Anzahl der betroffenen Kunden nicht bekannt gegeben.
Cisco-Sprecherin Meredith Corley sagte gegenüber TechCrunch, dass das Unternehmen „das Problem aktiv untersucht und eine dauerhafte Lösung entwickelt“. Auf weitere Fragen antwortete sie nicht. In der Empfehlung empfiehlt Cisco, betroffene Appliances zu löschen und neu zu erstellen, da dies derzeit die einzige Option ist, um die Persistenzmechanismen der Bedrohungsakteure zu entfernen. In der Empfehlung heißt es: „Im Falle einer bestätigten Kompromittierung ist die Wiederherstellung der Appliances derzeit die einzig praktikable Option, um den Persistenzmechanismus der Bedrohungsakteure von der Appliance zu entfernen.“
Cisco Talos, das Threat-Intelligence-Team des Unternehmens, brachte die Hacker in einem Blogbeitrag mit China und bekannten Hackergruppen der chinesischen Regierung in Verbindung. Talos berichtete, dass die Akteure die Zero-Day-Sicherheitslücke nutzen, um persistente Hintertüren zu installieren. Die Kampagne ist seit mindestens Ende November 2025 aktiv.
