Kwarantanna spamu w Cisco Secure Email Gateway dostępna z internetu pozwalała bez hasła przejąć urządzenie z uprawnieniami root. Lukę wykorzystywała grupa szpiegowska. Zaktualizuj AsyncOS, odetnij kwarantannę i sprawdź ślady włamania.
Ten alert jest dla zarządu, CTO i CFO firm, które filtrują pocztę przez urządzenia Cisco Secure Email Gateway lub zarządzają nimi przez Cisco Secure Email and Web Manager. Werdykt: jeśli Twoje urządzenie ma włączoną kwarantannę spamu dostępną z internetu, zaktualizuj AsyncOS dziś, odetnij kwarantannę od internetu i zleć sprawdzenie śladów włamania, bo luka z oceną 10/10 była wykorzystywana przez grupę szpiegowską, zanim powstała poprawka.
Amerykańska agencja CISA 17 grudnia 2025 roku dopisała podatność CVE-2025-20393 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Tego samego dnia Cisco opublikował ostrzeżenie o kampanii ataków na swoje bramy pocztowe. Poprawki wtedy jeszcze nie było: pełna lista naprawionych wydań ukazała się dopiero 15 stycznia 2026 roku.
Błąd siedzi w funkcji kwarantanny spamu, czyli w stronie, na której pracownicy przeglądają wiadomości zatrzymane przez filtr. Odpowiednio przygotowane żądanie sieciowe pozwala napastnikowi bez hasła wykonać na urządzeniu dowolne polecenia z najwyższymi uprawnieniami (root). Brama pocztowa widzi całą korespondencję firmy, więc jej przejęcie to dostęp do poczty zarządu, księgowości i klientów.
Termin naprawy wyznaczony przez CISA to zaledwie 7 dni i minął 24 grudnia 2025 roku, prawie 9 miesięcy temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-20393 |
Data dodania do CISA KEV | 2025-12-17 |
Termin naprawy wg CISA | 2025-12-24 (7 dni od wpisu) |
Produkt | Cisco AsyncOS Software dla Cisco Secure Email Gateway (dawniej ESA) oraz Cisco Secure Email and Web Manager (dawniej SMA), urządzenia fizyczne i wirtualne |
Wersje zagrożone | Secure Email Gateway: AsyncOS 14.2 i starsze, 15.0 przed 15.0.5-016, 15.5 przed 15.5.4-012, 16.0 przed 16.0.4-016. Secure Email and Web Manager: 15.0 i starsze przed 15.0.2-007, 15.5 przed 15.5.4-007, 16.0 przed 16.0.4-010. Warunki ataku muszą wystąpić razem: podatne wydanie, skonfigurowana kwarantanna spamu (domyślnie wyłączona) i kwarantanna dostępna z internetu. Usługa Cisco Secure Email Cloud nie jest podatna |
Wersje bezpieczne | Secure Email Gateway: 15.0.5-016, 15.5.4-012, 16.0.4-016 lub nowsze. Secure Email and Web Manager: 15.0.2-007, 15.5.4-007, 16.0.4-010 lub nowsze. Według Cisco aktualizacja usuwa też mechanizmy trwałego dostępu zainstalowane w tej kampanii |
Typ podatności | Niewłaściwa walidacja danych wejściowych prowadząca do wykonania poleceń systemowych bez uwierzytelnienia; CWE-20 |
Ocena CVSS | Cisco (w NVD): 10.0 (CVSS 3.1, KRYTYCZNA). Atak przez sieć, bez logowania, bez udziału użytkownika, ze skutkami wychodzącymi poza samo urządzenie |
Wyobraź sobie firmową podawczą, przez którą przechodzi cała korespondencja. Pracownik podawczej odkłada podejrzane listy do osobnej szuflady, a dla wygody zamontowano okienko od ulicy, przez które pracownicy mogą z zewnątrz poprosić o zwrot niesłusznie zatrzymanego listu. Okazało się, że przez to okienko obca osoba może podać kartkę z poleceniem, które pracownik podawczej wykona bez pytania. Od tej chwili obcy czyta każdy list, zanim trafi do adresata, i może zostawić sobie klucz do podawczej na później.
Tak działała ta luka. Kwarantanna spamu to wygodna funkcja, ale gdy firma wystawiła ją do internetu, stała się drzwiami do urządzenia, które widzi całą pocztę. Cisco podkreśla, że funkcja nie jest włączona domyślnie, a przewodniki wdrożeniowe nie wymagają wystawiania jej do internetu. Zagrożone były więc firmy, które kiedyś świadomie wybrały wygodę pracowników pracujących poza biurem.
💡 Brama pocztowa to urządzenie stojące przed serwerem poczty, które sprawdza każdą wiadomość pod kątem spamu i złośliwych załączników. AsyncOS to system działający na urządzeniach pocztowych Cisco. Root to konto bez żadnych ograniczeń. Mechanizm trwałości (backdoor) to ukryty kanał, którym napastnik wraca na urządzenie nawet po zamknięciu pierwotnej luki. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik odzyskuje maila z kwarantanny z domu | Loguje się i wypuszcza wiadomość | Tak samo, nic nie zauważa |
Obca osoba wysyła żądanie do strony kwarantanny | Zostaje odrzucona | Może wykonać polecenia z uprawnieniami root |
Poczta przychodząca do firmy | Filtrowana i przekazywana do skrzynek | Może być podglądana i kopiowana przez napastnika |
Aktualizacja urządzenia | Zamyka lukę | Zamyka lukę i według Cisco usuwa znane mechanizmy trwałości z tej kampanii |
Logi urządzenia | Pokazują ruch na urządzeniu | Napastnicy używali narzędzia do czyszczenia logów (wg Cisco Talos) |
źródło: https://unsplash.comPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na opisie kampanii z raportu Cisco Talos. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga hasła, ale uda się tylko na urządzeniu, którego kwarantanna spamu jest dostępna z internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie w internecie urządzeń Cisco z otwartą stroną kwarantanny spamu | Lista celów spełniających warunki ataku |
2. Wejście | T+kilka minut | Wysłanie spreparowanego żądania HTTP do kwarantanny | Wykonanie poleceń z uprawnieniami root |
3. Utrwalenie | T+kilkadziesiąt minut | Instalacja ukrytego kanału dostępu (Talos opisuje backdoor AquaShell) i narzędzi tunelujących | Możliwość powrotu w dowolnej chwili |
4. Zacieranie śladów | T+godziny | Czyszczenie logów urządzenia | Utrudnione wykrycie i analiza |
5. Wykorzystanie | T+dni do tygodni | Podgląd korespondencji, kradzież danych logowania, wejście głębiej do sieci przez tunel | Wyciek poufnych informacji |
6. Skutek | T+tygodnie do miesięcy | Długotrwałe szpiegowanie lub przygotowanie kolejnych ataków na firmę i jej kontrahentów | Straty trudne do oszacowania |
Mogę Ci jakoś pomóc?
Poczta to krwiobieg firmy: faktury, umowy, dane osobowe, resetowanie haseł do innych systemów. Urządzenie, które ją filtruje, ma do niej pełny wgląd. Luka nie wymaga hasła, a kampanię prowadziła według Cisco Talos grupa szpiegowska, której zależy na długim, cichym dostępie, a nie na szybkim efekcie.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie lub przeinstalowanie bramy pocztowej, przerwy w przyjmowaniu poczty | Godziny do dni | 20 tys. do 150 tys. PLN (przestój poczty, prace odtworzeniowe) |
Bezpieczeństwo danych | Wyciek korespondencji, załączników, danych klientów i danych logowania | Dni do miesięcy, często niewykryty | 50 tys. do 300 tys. PLN (analiza powłamaniowa, zmiana haseł, obsługa incydentu) |
Finansowy | Utrata przewagi w negocjacjach i przetargach, oszustwa na fałszywe przelewy z wykorzystaniem wiedzy z poczty | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, których korespondencja wyciekła | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z kwarantanną spamu dostępną z internetu
i AsyncOS bez poprawki
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy spełnionych trzech warunkach ryzyko jest krytyczne (ocena 10.0, brak hasła, potwierdzone ataki, pełny dostęp do poczty); firma, której kwarantanna nie jest dostępna z internetu, jest poza zasięgiem opisanej kampanii, ale i tak powinna wgrać poprawkę.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy kwarantanna spamu jest włączona (Network > IP Interfaces) i czy otwiera się spoza sieci firmowej, np. z telefonu w sieci komórkowej | Dziś | Administrator poczty |
2 | 🔴 NATYCHMIAST | Odciąć kwarantannę spamu i panel administracyjny od internetu, zostawić dostęp tylko z sieci firmowej lub VPN | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować AsyncOS do wydania z poprawką dla swojej linii (tabela w sekcji 1) | Dziś | Administrator poczty / partner IT |
4 | 🟠 PILNIE | Jeśli kwarantanna była dostępna z internetu po listopadzie 2025: zgłosić sprawę do pomocy technicznej Cisco (TAC) w celu sprawdzenia śladów włamania | Do 3 dni | CTO |
5 | 🟠 PILNIE | Zmienić hasła kont administracyjnych urządzenia i dane logowania, które brama przechowuje, np. do serwera poczty lub LDAP | Do 3 dni | Administrator poczty |
6 | 🟡 WAŻNIE | Rozdzielić interfejsy pocztowy i zarządzający, wyłączyć zbędne usługi (HTTP, FTP) i wysyłać logi na zewnętrzny serwer | Do 30 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Przygotować spis usług firmy dostępnych z internetu z osobą, która umie każdą z nich wyłączyć | Do 30 dni | CTO |
Cisco wydał poprawki dla wszystkich wspieranych linii AsyncOS i nie podaje obejścia, które usuwa samą lukę. Do czasu aktualizacji ryzyko ograniczają zalecenia utwardzające producenta. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zablokowanie dostępu z internetu do kwarantanny spamu (zapora, tylko sieć firmowa lub VPN) | Wysoka: usuwa warunek konieczny opisanej kampanii | Łatwa, pracownicy spoza biura odzyskują maile przez VPN |
Dostęp do urządzenia tylko z zaufanych adresów za zaporą (zalecenie Cisco) | Wysoka | Średnia |
Wyłączenie kwarantanny spamu, jeśli nie jest potrzebna | Wysoka | Łatwa, ale zatrzymane maile trzeba wypuszczać przez administratora |
Wysyłanie logów na zewnętrzny serwer i ich przegląd | Niska jako ochrona, ważna do wykrycia (napastnicy czyścili logi lokalne) | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Kwarantanna spamu | Dostępna dla każdego z internetu | Dostępna tylko z sieci firmowej lub VPN |
AsyncOS | Wydanie podatne na wykonanie poleceń bez hasła | Wydanie z poprawką, znane mechanizmy trwałości usunięte |
Wiedza o włamaniu | Brak, logi mogły zostać wyczyszczone | Sprawdzenie z pomocą Cisco TAC i decyzja o zgłoszeniu naruszenia |
Hasła i poświadczenia na bramie | Mogły zostać przejęte | Zmienione |
Zgodność z terminem CISA | Zaległość od 24 grudnia 2025 (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Cisco Talos: aktywność trwała co najmniej od końca listopada 2025 |
Grupy przestępcze | UAT-9686, według Cisco Talos (z umiarkowaną pewnością) grupa szpiegowska APT powiązana z Chinami; narzędzia AquaShell (backdoor), AquaTunnel i chisel (tunele), AquaPurge (czyszczenie logów) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1, Cisco) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych danych; Cisco pisze o ograniczonej części urządzeń z otwartymi do internetu portami i niestandardową konfiguracją |
Kogo nie dotyczy | Cisco Secure Email Cloud; Cisco nie odnotował ataków na Cisco Secure Web |
Prognoza EPSS | Około 30% szansy próby wykorzystania w ciągu 30 dni, wyżej niż 98% znanych podatności (wg analizy źródłowej) |
Najważniejsza lekcja z tej sprawy: przez prawie miesiąc luka była wykorzystywana, a poprawki nie było. Jedyną skuteczną reakcją była zmiana konfiguracji:
Mogę Ci jakoś pomóc?
Okno bez poprawki dla CVE-2025-20393
koniec XI 2025 ████ ataki trwają, nikt nie wie
10.12.2025 █ Cisco dowiaduje się o kampanii
17.12.2025 ███████████████████ ostrzeżenie, KEV, brak poprawki
15.01.2026 █ poprawki dostępne
<── ok. 7 tygodni ataków ──> jedyna obrona: konfiguracja 2025-11 (koniec) Początek aktywności UAT-9686 (wg Cisco Talos)
2025-12-10 Cisco dowiaduje się o kampanii ataków
2025-12-17 Ostrzeżenie Cisco i raport Talos, publikacja CVE w NVD
2025-12-17 CISA dodaje lukę do katalogu KEV
2025-12-18 Ostrzeżenie CERT-EU: brak poprawki, odciąć kwarantannę od internetu
2025-12-24 Termin naprawy wg CISA dla agencji federalnych
2026-01-15 Wersja 2.0 ostrzeżenia Cisco z listą wydań z poprawką
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 9 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalne ostrzeżenie Cisco z wydaniami z poprawką i zaleceniami: cisco-sa-sma-attack-N9bf4 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-20393 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub partner IT) używa Cisco Secure Email Gateway lub Secure Email and Web Manager na własnych urządzeniach | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja AsyncOS i czy kwarantanna spamu jest dostępna z internetu | CTO | DZISIAJ |
3 | Zatwierdzić odcięcie kwarantanny od internetu i natychmiastową aktualizację | CTO | DZISIAJ |
4 | Zlecić zgłoszenie do Cisco TAC, jeśli kwarantanna była dostępna z internetu po listopadzie 2025 | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową i ewentualną obsługę naruszenia danych | CFO | DO JUTRA |
6 | Uprzedzić dział finansów o ryzyku fałszywych próśb o zmianę numeru konta, jeśli poczta mogła być czytana | CFO | DO JUTRA |
7 | Sprawdzić w polisie cyberubezpieczenia wymogi dotyczące zgłaszania incydentów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy własne urządzenia Cisco Secure Email Gateway lub Secure Email and Web Manager (fizyczne lub wirtualne)? | TAK / NIE | 🔴 |
2 | Jaka wersja AsyncOS działa na każdym z nich? | [wersja] | 🔴 |
3 | Czy kwarantanna spamu jest włączona i czy da się ją otworzyć spoza sieci firmowej? | TAK / NIE | 🔴 |
4 | Od kiedy kwarantanna była dostępna z internetu i kiedy ją odcięto? | [data] | 🟠 |
5 | Czy zgłosiliśmy urządzenie do Cisco TAC w celu sprawdzenia śladów włamania i jaki był wynik? | TAK / NIE, [wynik] | 🟠 |
6 | Czy logi urządzenia są wysyłane na zewnętrzny serwer i za jaki okres je mamy? | TAK / NIE, [okres] | 🟠 |
7 | Czy zmieniliśmy hasła administratorów i poświadczenia przechowywane na bramie? | TAK / NIE, [data] | 🟡 |
CVE-2025-20393 pozwalała bez hasła przejąć z uprawnieniami root bramę pocztową Cisco z kwarantanną spamu dostępną z internetu, a grupa szpiegowska wykorzystywała ją przez tygodnie przed wydaniem poprawki. Aktualizacja AsyncOS zamyka lukę i usuwa znane mechanizmy trwałości, ale firmy, które miały wystawioną kwarantannę, powinny dodatkowo sprawdzić urządzenie pod kątem włamania.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.