Błąd w serwerze VPN zapór Cisco ASA i FTD pozwala ominąć logowanie, a z CVE-2025-20333 przejąć urządzenie. CISA wydała dyrektywę awaryjną. Zaktualizuj zaporę i sprawdź, czy napastnik nie wszedł wcześniej.
Ten alert jest dla zarządu, CTO i CFO firm, które mają zapory Cisco Secure Firewall ASA lub Threat Defense (FTD) z włączonym zdalnym dostępem VPN dla pracowników. Werdykt: jeśli oprogramowanie zapory nie ma poprawki z września 2025 roku, zaktualizuj ją dziś, a jeśli zapora była wystawiona do internetu z VPN przed aktualizacją, zleć przegląd pod kątem śladów włamania, bo sama aktualizacja nie usuwa napastnika, który już wszedł.
Amerykańska agencja CISA 25 września 2025 roku dopisała CVE-2025-20362 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach, i wydała dyrektywę awaryjną ED 25-03 z terminem na następny dzień. Błąd w serwerze WWW obsługującym VPN pozwala napastnikowi bez logowania dostać się do adresów, które powinny być dostępne tylko po uwierzytelnieniu. Według CISA można go łączyć z bliźniaczą luką CVE-2025-20333, co prowadzi do przejęcia urządzenia.
W kwietniu 2026 roku CISA zaktualizowała dyrektywę, bo napastnicy potrafili utrzymać się w urządzeniach mimo aktualizacji. W listopadzie 2025 roku Cisco odnotowało nowy wariant ataku powodujący nieoczekiwane restarty niezaktualizowanych zapór.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-20362 |
Data dodania do CISA KEV | 2025-09-25 |
Termin naprawy wg CISA | 2025-09-26 (1 dzień; termin wdrożenia dyrektywy awaryjnej ED 25-03) |
Produkt | Cisco Secure Firewall Adaptive Security Appliance (ASA) Software i Secure Firewall Threat Defense (FTD) Software, serwer WWW dla VPN |
Wersje zagrożone | ASA: 9.12 poniżej 9.12.4.72, 9.14 poniżej 9.14.4.28, 9.16 poniżej 9.16.4.85, 9.17 i 9.18 poniżej 9.18.4.67, 9.19 i 9.20 poniżej 9.20.4.10, 9.22 poniżej 9.22.2.14, 9.23 poniżej 9.23.1.19. FTD: 7.0 poniżej 7.0.8.1, 7.1 i 7.2 poniżej 7.2.10.2, 7.3 i 7.4 poniżej 7.4.2.4, 7.6 poniżej 7.6.2.1, 7.7 poniżej 7.7.10.1. Tylko przy włączonym AnyConnect z usługami klienckimi, Mobile User Security lub VPN przez przeglądarkę (webvpn enable). Secure Firewall Management Center nie jest podatne |
Wersje bezpieczne | ASA: 9.12.4.72, 9.14.4.28, 9.16.4.85, 9.18.4.67, 9.20.4.10, 9.22.2.14, 9.23.1.19 i nowsze. FTD: 7.0.8.1, 7.2.10.2, 7.4.2.4, 7.6.2.1, 7.7.10.1 i nowsze. Gałęzie ASA 9.17 i 9.19 oraz FTD 7.1 i 7.3 nie dostały poprawki: trzeba przejść na inną linię wydań |
Typ podatności | Brak autoryzacji (dostęp do chronionych adresów bez logowania); CWE-862 |
Ocena CVSS | Cisco: 6.5 ŚREDNIA (CVSS 3.1, bez wpływu na dostępność). NVD: 8.6 WYSOKA (CVSS 3.1, z wysokim wpływem na dostępność). Atak przez sieć, bez logowania, bez udziału użytkownika |
Wyobraź sobie biurowiec z recepcją, gdzie pracownik z domu pokazuje przepustkę i dostaje się do biura. Recepcjonistka sprawdza przepustki przy głównym wejściu, ale kilka bocznych drzwi prowadzących do pomieszczeń „tylko dla zalogowanych” otwiera każdemu, kto o nie zapyta. Nie łamie zasad, po prostu przy tych drzwiach zapomina zapytać, czy pytający ma prawo wejść.
Tak działa ta luka. Zapora Cisco obsługuje VPN przez własny serwer stron, na którym pracownik wpisuje login i hasło. Przy niektórych adresach serwer nie sprawdzał, czy pytający jest zalogowany. Samo to daje napastnikowi dostęp do miejsc zamkniętych, a w połączeniu z drugą luką (CVE-2025-20333) prowadzi do przejęcia zapory, która stoi na styku firmy z internetem.
💡 Uwierzytelnienie to sprawdzenie, kim jesteś (login i hasło), a autoryzacja to sprawdzenie, do czego masz prawo; tu zawiodła ta druga. VPN to szyfrowany tunel, którym pracownik z domu łączy się z firmą. Dyrektywa awaryjna to rzadko wydawane polecenie CISA dla urzędów USA w sytuacjach, które nie znoszą zwykłego trybu. Utrwalenie (persistence) to sposób napastnika na pozostanie w urządzeniu po restarcie lub aktualizacji. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik łączy się z domu przez VPN | Loguje się i pracuje | Tak samo, nic nie zauważa |
Obca osoba wysyła żądanie do chronionego adresu VPN | Odmowa, wymagane logowanie | Dostęp bez logowania |
Połączenie z luką CVE-2025-20333 | Brak skutku | Możliwe przejęcie zapory |
Aktualizacja zapory | Zamyka problem | Zamyka drogę wejścia, ale nie usuwa napastnika, który już się utrwalił |
Zapora bez włączonych funkcji VPN | Bez ryzyka z tej luki | Kod jest, ale drzwi są zamknięte |
źródło: Pexels, Victoria BowersPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Portale VPN są z założenia dostępne z internetu, atak nie wymaga logowania, a CISA ocenia go jako możliwy do zautomatyzowania, więc należy zakładać masowe skanowanie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Skanowanie internetu w poszukiwaniu zapór Cisco z włączonym VPN przez WWW | Lista celów |
2. Obejście logowania | T+minuty | Spreparowane żądania HTTP do chronionych adresów (CVE-2025-20362) | Dostęp do zasobów bez uwierzytelnienia |
3. Przejęcie urządzenia | T+minuty do godzin | Połączenie z CVE-2025-20333 | Kontrola nad zaporą |
4. Utrwalenie | T+godziny do dni | Instalacja mechanizmu przetrwania w systemie bazowym urządzenia | Dostęp zachowany mimo restartu i aktualizacji |
5. Wykorzystanie | T+dni do miesięcy | Podgląd ruchu, przechwytywanie danych logowania, wejście do sieci firmy; w wariancie z listopada 2025 roku także restarty urządzeń | Wyciek danych, przerwy w dostępie |
Zapora z VPN to główne wejście do firmy. Wspólne śledztwo służb Australii, Kanady, Wielkiej Brytanii i USA, dyrektywa awaryjna z terminem na jutro i utrwalanie się napastników mimo aktualizacji to sygnały skali, których nie oddaje żadna liczba CVSS.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Restarty zapory, przerwy w VPN i dostępie do internetu, konieczność odbudowy urządzenia | Godziny do dni | 30 tys. do 300 tys. PLN (przestój, odbudowa, nowe urządzenie) |
Bezpieczeństwo danych | Przechwycone dane logowania, podgląd ruchu, wejście do sieci wewnętrznej | Dni do miesięcy, często niewykryte | 50 tys. do 300 tys. PLN (analiza powłamaniowa, przegląd urządzenia) |
Finansowy | Koszty reakcji na incydent, możliwe dalsze ataki na sieć | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów po wycieku | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; dla podmiotów objętych przepisami o cyberbezpieczeństwie także zgłoszenie incydentu | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: zapora Cisco z VPN, bez poprawki
Wpływ
5 | . . . . ■ ← KRYTYCZNE (w połączeniu z CVE-2025-20333)
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: sama luka ma częściowy skutek techniczny, ale jest wykorzystywana razem z CVE-2025-20333 do przejęcia urządzenia, atak jest automatyzowalny, a EPSS wynosi około 87%, dlatego dla zapory z VPN i bez poprawki ryzyko jest krytyczne; zapora bez włączonych funkcji VPN jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy na zaporze włączony jest AnyConnect z usługami klienckimi, Mobile User Security lub webvpn | Dziś | Administrator zapory |
2 | 🔴 NATYCHMIAST | Jeśli VPN nie jest potrzebny: wyłączyć te funkcje | Dziś | Administrator zapory |
3 | 🔴 NATYCHMIAST | Sprawdzić wersję ASA lub FTD i porównać z listą wersji z poprawką, uważając, by nie pomylić poprawek dla różnych luk | Dziś | Administrator zapory |
4 | 🔴 NATYCHMIAST | Zaktualizować do wersji z poprawką; dla ASA 9.17, 9.19 oraz FTD 7.1, 7.3 zaplanować przejście na inną linię wydań | Dziś lub w najbliższym oknie | Administrator zapory / partner IT |
5 | 🟠 PILNIE | Jeśli zapora z VPN była dostępna z internetu od września 2025 roku przed aktualizacją: zlecić przegląd urządzenia według instrukcji CISA (zrzut i analiza pamięci) | Do 3 dni | Zewnętrzny zespół bezpieczeństwa |
6 | 🟠 PILNIE | Po przeglądzie zmienić hasła i certyfikaty używane na zaporze i w VPN | Do 7 dni | Administrator zapory |
7 | 🟡 WAŻNIE | Ustalić, kto w firmie otrzymuje biuletyny bezpieczeństwa Cisco dla posiadanego sprzętu | Do 7 dni | CTO |
Cisco wydało poprawki dla wspieranych gałęzi; gałęzie bez poprawki wymagają migracji. CISA wskazuje dyrektywę ED 25-03 z instrukcjami identyfikacji i usuwania skutków włamania. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie funkcji VPN przez WWW (AnyConnect z usługami klienckimi, Mobile User Security, webvpn), jeśli nie są potrzebne | Wysoka: usuwa całą powierzchnię ataku tej luki | Łatwa, ale odcina pracę zdalną |
Przegląd urządzenia według instrukcji CISA (zrzut pamięci i poszukiwanie śladów) | Wysoka w wykrywaniu utrwalonego napastnika | Trudna: wymaga specjalisty |
Ograniczenie dostępu do portalu VPN do znanych krajów lub adresów | Średnia: zawęża krąg napastników | Średnia |
Monitorowanie nieoczekiwanych restartów i nietypowych żądań do portalu | Niska jako ochrona, pomocna w wykryciu | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Chronione adresy VPN | Dostępne bez logowania | Wymagają uwierzytelnienia |
Wersja oprogramowania | Niepewna, możliwa pomyłka poprawek | Potwierdzona wersja z poprawką na CVE-2025-20362 |
Obecność napastnika | Nieznana | Przegląd urządzenia wykonany |
Hasła i certyfikaty | Mogły zostać przechwycone | Zmienione po przeglądzie |
Powiadomienia producenta | Nikt ich nie dostaje | Wskazana osoba z subskrypcją biuletynów |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA, dyrektywa awaryjna ED 25-03). Cisco potwierdza próby wykorzystania |
Grupy przestępcze | Brak publicznych informacji o nazwie grupy; w śledztwie brały udział służby Australii, Kanady, Wielkiej Brytanii i USA |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 6.5 ŚREDNIA wg Cisco (CVSS 3.1); 8.6 WYSOKA wg NVD (CVSS 3.1); baza europejska przyjmuje ocenę producenta |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Utrwalanie mimo aktualizacji | TAK: w kwietniu 2026 roku CISA opisała mechanizm przetrwania w systemie bazowym urządzenia; CISA i brytyjska agencja wydały wspólną analizę złośliwego oprogramowania |
Prognoza EPSS | Około 87% szansy próby wykorzystania w ciągu 30 dni, wyżej niż 99,7% wszystkich luk (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-20362
CVSS 3.1 (NVD) 8.6/10 █████████████████░░░ WYSOKA
CVSS 3.1 (Cisco) 6.5/10 █████████████░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~87% █████████████████░░░ BARDZO WYSOKA
CISA KEV i ED 25-03 TAK ████████████████████ termin 1 dzień
Automatyzacja (CISA) TAK ████████████████████ masowe skanowanie 2025-09-25 Cisco publikuje biuletyn i poprawki; CISA dodaje lukę
do KEV i wydaje dyrektywę awaryjną ED 25-03
2025-09-26 Termin wdrożenia dyrektywy wg CISA
2025-11 CISA: część urządzeń błędnie oznaczona jako zaktualizowana
2025-11-05 Cisco odnotowuje nowy wariant ataku powodujący restarty
2026-04 CISA aktualizuje dyrektywę: utrwalanie mimo aktualizacji;
wspólna analiza złośliwego oprogramowania CISA i UK
2026-08-11 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: sec.cloudapps.cisco.com, cisco-sa-asaftd-webvpn-YROOTUW . Instrukcje CISA: dyrektywa ED 25-03 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-20362 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma ma zapory Cisco ASA lub FTD z włączonym VPN | CTO | DZISIAJ |
2 | Uzyskać pisemnie wersję oprogramowania i datę ostatniej aktualizacji | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację lub wyłączenie zbędnych funkcji VPN | CTO | DZISIAJ |
4 | Zdecydować o przeglądzie urządzenia, jeśli było wystawione przed aktualizacją | CTO | DO JUTRA |
5 | Zarezerwować budżet na przegląd przez specjalistów i ewentualną wymianę urządzenia | CFO | DO JUTRA |
6 | Sprawdzić, czy umowa serwisowa Cisco jest aktywna (dostęp do poprawek) | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące zgłaszania incydentów | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy na naszej zaporze włączony jest AnyConnect z usługami klienckimi, Mobile User Security lub webvpn? | TAK / NIE | 🔴 |
2 | Jaka wersja ASA lub FTD pracuje na zaporze? | [wersja] | 🔴 |
3 | Czy ta wersja zawiera poprawkę właśnie na CVE-2025-20362 (a nie tylko na inną lukę)? | TAK / NIE | 🔴 |
4 | Kiedy zapora została zaktualizowana? | [data] | 🔴 |
5 | Czy przed aktualizacją portal VPN był dostępny z internetu? | TAK / NIE | 🟠 |
6 | Czy wykonano przegląd urządzenia według instrukcji CISA? | TAK / NIE, [data] | 🟠 |
7 | Kto otrzymuje biuletyny bezpieczeństwa Cisco dla naszego sprzętu? | [osoba] | 🟡 |
CVE-2025-20362 pozwala bez logowania dostać się do chronionych części VPN w zaporach Cisco ASA i FTD, a w połączeniu z CVE-2025-20333 przejąć urządzenie. CISA wydała dyrektywę awaryjną, a napastnicy potrafią przetrwać aktualizację, dlatego dziś trzeba potwierdzić wersję z poprawką, a przy zaporach wystawionych wcześniej do internetu zlecić przegląd pod kątem śladów włamania.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.