Cisco heeft een ernstig lek in Secure Email Gateway gedicht. In Cisco AsyncOS bleek de verwerking van inkomende e‑mail onvoldoende te controleren. Daardoor kon een aanvaller zonder inloggegevens met een speciaal geprepareerd bericht code uitvoeren op het onderliggende besturingssysteem – zelfs met root‑rechten. Cisco bevestigt dat er daadwerkelijk misbruik is gezien en heeft updates uitgebracht. Het NCSC adviseert organisaties met klem om direct te patchen en systemen te controleren op tekenen van compromise. (sec.cloudapps.cisco.com)

Wat is er aan de hand

• In juli 2024 verholp Cisco een kritieke kwetsbaarheid (CVE‑2024‑20401) in de content‑scanning en mailfilters van Secure Email Gateway. Door onjuiste afhandeling van e‑mailbijlagen konden willekeurige systeembestanden worden overschreven. Daarmee viel onder meer het toevoegen van root‑gebruikers, het aanpassen van configuraties, remote code execution en zelfs een permanente DoS te veroorzaken. De fix zit in Content Scanner Tools 23.3.0.4823 (standaard in AsyncOS 15.5.1‑055 en hoger). (sec.cloudapps.cisco.com)
• In december 2025 meldde Cisco actief misbruik van een tweede, losstaande kwetsbaarheid (CVE‑2025‑20393, CVSS 10.0). Deze zat in de Spam Quarantine‑functie van AsyncOS voor Secure Email Gateway en Secure Email and Web Manager. Een aanvaller kon, zonder authenticatie, via een crafted verzoek commando’s met root‑rechten uitvoeren. Voor misbruik moest Spam Quarantine ingeschakeld én vanaf internet bereikbaar zijn. Cisco heeft updates beschikbaar gesteld en waarschuwt dat er geen workarounds zijn. (sec.cloudapps.cisco.com)

Wie is geraakt en wat moet je doen

• Beoordeel of Spam Quarantine aan staat en of deze van buitenaf te benaderen is. Zet beheerinterfaces achter een firewall en beperk toegang tot vertrouwde hosts. (sec.cloudapps.cisco.com)
• Update zo snel mogelijk naar een vaste release. Voor Secure Email Gateway zijn de eerste gefixte versies 15.0.5‑016 (voor 14.2/15.0), 15.5.4‑012 (voor 15.5) en 16.0.4‑016 (voor 16.0). Voor Secure Email and Web Manager: 15.0.2‑007, 15.5.4‑007 en 16.0.4‑010. (sec.cloudapps.cisco.com)
• Draai je nog Content Scanner Tools onder 23.3.0.4823? Werk die dan direct bij of upgrade naar AsyncOS 15.5.1‑055 of hoger, waarin de bijgewerkte tools standaard zitten. Dit vereist geen reboot. (sec.cloudapps.cisco.com)
• Controleer logbestanden op afwijkend verkeer en mogelijke persistentie. Cisco en Talos publiceerden indicatoren van compromittering (IOC’s) rond de campagne van de actor UAT‑9686, waaronder de AquaShell‑backdoor en tooling als AquaTunnel, Chisel en AquaPurge. Vind je aanknopingspunten, neem contact op met Cisco TAC voor forensische ondersteuning. (blog.talosintelligence.com)

Waarom dit urgent is

• De kwetsbaarheid in Spam Quarantine is aantoonbaar misbruikt om beheerrechten te verkrijgen en een backdoor te plaatsen. Organisaties die deze functie (onbedoeld) aan internet hebben blootgesteld lopen verhoogd risico. Snel patchen, blootstelling beperken en actief zoeken naar IOC’s is daarom essentieel. (sec.cloudapps.cisco.com)

Meer informatie en IoC’s staan in de officiële security‑advisories en het Talos‑onderzoek. Volg het handelingsadvies om systemen te herstellen en hercompromittering te voorkomen. (sec.cloudapps.cisco.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.