Luka w serwerze VPN zapór Cisco ASA i FTD pozwala zalogowanemu użytkownikowi przejąć urządzenie. Wykorzystywana przez sprawcę ArcaneDoor, a jego ukryty dostęp potrafi przetrwać aktualizację. Zaktualizuj i sprawdź zapory.
Ten alert jest dla zarządu, CTO i CFO firm, które dają pracownikom zdalny dostęp (VPN) przez zapory Cisco Secure Firewall ASA lub Firepower Threat Defense (FTD). Werdykt: jeśli zapora nie ma wersji z poprawką wskazanej przez Cisco Software Checker, zaktualizuj ją dziś, a jeśli była podatna i wystawiona do internetu, potraktuj ją jako potencjalnie przejętą, bo sama aktualizacja może nie usunąć napastnika.
Amerykańska agencja CISA 25 września 2025 roku dopisała CVE-2025-20333 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach, i tego samego dnia wydała dyrektywę awaryjną ED 25-03. Błąd siedzi w serwerze WWW obsługującym VPN w zaporach Cisco ASA i FTD. Osoba z ważnym loginem i hasłem zwykłego użytkownika VPN może wysłać spreparowane zapytanie i uruchomić na zaporze dowolny kod z uprawnieniami roota, czyli przejąć urządzenie.
Według Cisco kampanię prowadził ten sam sprawca, co opisana w 2024 roku operacja ArcaneDoor, a według katalogu KEV lukę można łączyć z CVE-2025-20362. W kwietniu 2026 roku CISA i Cisco poinformowały o nowym mechanizmie utrwalenia, który przetrwał aktualizację do poprawek z września 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-20333 (w KEV opisana jako możliwa do połączenia z CVE-2025-20362) |
Data dodania do CISA KEV | 2025-09-25 |
Termin naprawy wg CISA | 2025-09-26 (1 dzień), termin rozpoczęcia wdrażania dyrektywy awaryjnej ED 25-03 |
Produkt | Cisco Secure Firewall Adaptive Security Appliance (ASA) Software i Secure Firewall Threat Defense (FTD) Software, serwer WWW usług VPN. Nie dotyczy Cisco Secure FMC |
Wersje zagrożone | Podatne wydania ASA i FTD (NVD wymienia 12 zakresów) z włączonym SSL VPN, AnyConnect IKEv2 z client services lub Mobile User Security. Warunek: ważne dane logowania użytkownika VPN. Bez włączonych usług VPN opartych o WWW urządzenie nie jest podatne |
Wersje bezpieczne | Pierwszą wersję z poprawką dla danego wydania wskazuje Cisco Software Checker (sprawdzać łącznie z CVE-2025-20362). Dla ASA 5500-X z wydaniami 9.12 i 9.14: specjalne wydania 9.12.4.72 i 9.14.4.28, ostatnie w tych liniach |
Typ podatności | Przepełnienie bufora (niewłaściwa walidacja danych w zapytaniach HTTP(S)) prowadzące do wykonania kodu jako root; CWE-120 wg Cisco, NVD i KEV (instrukcja uzupełniająca CISA podaje inną klasę: brak kontroli uprawnień) |
Ocena CVSS | 9.9 KRYTYCZNA (CVSS 3.1, Cisco; NVD przyjął ocenę producenta). Atak przez sieć, niska złożoność, wymagane niskie uprawnienia, zmiana zakresu, pełny wpływ |
Wyobraź sobie hotel, w którym portier wpuszcza każdego gościa z ważną kartą pokoju. Okazało się, że gość, który przy recepcji poda wyjątkowo długie zamówienie, może przez błąd w systemie dostać klucze do całego budynku, łącznie z pokojem ochrony. Co gorsza, niektórzy tacy „goście” dorobili sobie klucze i ukryli je w fundamentach. Wymiana zamków (aktualizacja) nie pomaga, jeśli nikt nie sprawdzi fundamentów.
Tak działa ta luka. Zapora Cisco wyświetla stronę logowania do VPN i przyjmuje zapytania od zalogowanych pracowników. Serwer nie sprawdzał, czy przesłane dane mieszczą się w przygotowanym miejscu w pamięci, więc zalogowany użytkownik mógł przejąć zaporę. Według Cisco napastnicy zmieniali też oprogramowanie uruchamiane przy starcie urządzenia (ROMMON na starszych modelach), a w 2026 roku wykryto kolejny mechanizm ukrycia w systemie bazowym FXOS.
💡 Zapora (firewall) to urządzenie na granicy sieci firmy, które decyduje, jaki ruch przepuścić. VPN to szyfrowany tunel dla pracowników spoza biura. Przepełnienie bufora to zapisanie do pamięci więcej danych, niż przewidziano. ROMMON to oprogramowanie startowe uruchamiane przed właściwym systemem zapory. Bezpieczny rozruch (Secure Boot) to mechanizm sprawdzający przy starcie, czy oprogramowanie pochodzi od producenta. Dyrektywa awaryjna to nadzwyczajne polecenie CISA dla urzędów USA.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik loguje się do VPN | Dostaje dostęp do sieci firmy | Tak samo, ale jego konto może posłużyć do przejęcia zapory |
Hasło byłego pracownika lub wyłudzone przez fałszywą wiadomość | Daje dostęp do VPN | Wystarcza do pełnego przejęcia zapory |
Aktualizacja oprogramowania | Usuwa lukę | Usuwa lukę, ale ukryty mechanizm napastnika mógł przetrwać |
Dzienniki zapory | Rejestrują zdarzenia | Napastnicy wyłączali rejestrowanie i przechwytywali polecenia administratora (wg Cisco) |
Starsze ASA 5500-X bez Secure Boot | Działają latami | Na nich Cisco potwierdziło udane przejęcia i zmiany ROMMON |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na opisie kampanii przez Cisco. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga ważnego konta użytkownika VPN (katalog KEV wskazuje, że lukę można łączyć z CVE-2025-20362), a CISA ocenia go jako nieautomatyzowalny, czyli prowadzony wobec wybranych celów.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie konta VPN | T-dni do tygodni | Wyłudzenie hasła, użycie wycieku lub konta byłego pracownika (albo połączenie z drugą luką) | Dostęp do strony VPN jako użytkownik |
2. Wykorzystanie | T+0 min | Wysłanie spreparowanych zapytań HTTP(S) do serwera VPN | Wykonanie kodu jako root na zaporze |
3. Zacieranie śladów | T+minuty | Wyłączenie rejestrowania, przechwytywanie poleceń, celowe restarty utrudniające diagnozę (wg Cisco) | Administrator nic nie widzi |
4. Utrwalenie | T+godziny do dni | Zmiana ROMMON na starszych ASA 5500-X; od 2026 roku mechanizm w FXOS przetrwający aktualizację | Dostęp po restarcie i po aktualizacji |
5. Szpiegostwo | T+tygodnie do miesięcy | Podgląd i wyprowadzanie ruchu oraz danych z sieci firmy | Długotrwały, ukryty wyciek informacji |
Zapora to strażnik całej sieci. Luka o ocenie 9.9, wykorzystywana przez zaawansowanego sprawcę, z mechanizmami ukrycia przetrwającymi restart i aktualizację, oznacza, że samo „zaktualizowaliśmy” nie jest odpowiedzią. Trzeba też ustalić, czy urządzeniu można jeszcze ufać.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przerwy w VPN, nieplanowane restarty (od listopada 2025 Cisco opisuje wariant ataku powodujący restarty), konieczność wymiany zapory | Godziny do tygodni | 30 tys. do 250 tys. PLN (przestój, nowy sprzęt, konfiguracja) |
Bezpieczeństwo danych | Długotrwały podsłuch i wyciek danych przechodzących przez zaporę | Tygodnie do miesięcy | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, wymiana haseł, certyfikatów i kluczy, przyspieszony zakup sprzętu | Tygodnie | 80 tys. do 700 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów po ujawnieniu długotrwałego wycieku | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Cisco ASA/FTD i włączonym VPN WWW
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (pełne, trudne do usunięcia przejęcie zapory), a prawdopodobieństwo wysokie (potwierdzone ataki, EPSS powyżej 70%), choć nie maksymalne, bo atak wymaga konta VPN lub drugiej luki i nie jest masowo automatyzowany.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać model każdej zapory Cisco, wersję ASA/FTD i to, czy włączony jest SSL VPN, IKEv2 client services lub MUS | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Sprawdzić wersję w Cisco Software Checker łącznie dla CVE-2025-20333 i CVE-2025-20362 (wersja „Combined First Fixed”) i zaktualizować | Dziś | Administrator / partner Cisco |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja musi poczekać: wyłączyć usługi VPN oparte o SSL/TLS i IKEv2 client services (środek tymczasowy Cisco) | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Sprawdzić urządzenia według przewodnika Cisco dotyczącego wykrywania ataków sprawcy ArcaneDoor i dyrektywy CISA ED 25-03; przy podejrzeniu otworzyć zgłoszenie w Cisco TAC | Do 3 dni | Zespół bezpieczeństwa / partner Cisco |
5 | 🟠 PILNIE | Po aktualizacji przy podejrzeniu włamania: przywrócić ustawienia fabryczne, wymienić lokalne hasła, certyfikaty i klucze (zalecenie Cisco) | Do 7 dni | Administrator |
6 | 🟠 PILNIE | Przejrzeć konta VPN, usunąć konta byłych pracowników, włączyć drugi składnik logowania | Do 3 dni | CTO / administrator |
7 | 🟡 WAŻNIE | Zaplanować wymianę zapór bez Secure Boot i po końcu wsparcia (np. ASA 5512-X, 5515-X, 5525-X, 5545-X, 5555-X, 5585-X; modele 5506-X, 5508-X, 5516-X tracą wsparcie 31 sierpnia 2026) | Do 90 dni | CTO / CFO |
Cisco wydało poprawki (wersje wskazuje Software Checker) i stwierdza, że nie ma obejścia. Jako tymczasowe ograniczenie ryzyka producent dopuszcza wyłączenie usług VPN opartych o WWW. Dla urządzeń, których nie da się zaktualizować z powodu końca wsparcia, Cisco zaleca migrację na wspierany sprzęt. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie wszystkich usług SSL VPN i IKEv2 client services (Cisco) | Wysoka wobec tej luki | Trudna: wyłącza SSL VPN dla pracowników i aktualizacje klienta VPN |
Drugi składnik logowania do VPN i usunięcie zbędnych kont | Średnia: utrudnia zdobycie konta, nie chroni przed łańcuchem z CVE-2025-20362 | Średnia |
Ochrona przed atakami na logowanie VPN (threat detection for VPN services, zalecenie Cisco) | Niska do średniej | Średnia |
Wymiana starych zapór bez Secure Boot | Wysoka wobec utrwalenia w ROMMON | Trudna: koszt i wdrożenie |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja ASA/FTD | Podatna lub „naprawiona” tylko dla jednej z dwóch luk | Wersja z poprawką dla obu luk wg Software Checker |
Zaufanie do urządzenia | Nieznane, możliwe ukryte utrwalenie | Sprawdzone wg przewodnika Cisco, przy podejrzeniu przywrócone do ustawień fabrycznych |
Hasła, certyfikaty, klucze zapory | Te same od lat | Wymienione |
Konta VPN | Także byłych pracowników, bez drugiego składnika | Tylko aktywne, z drugim składnikiem |
Sprzęt | Stare ASA bez Secure Boot | Plan wymiany z budżetem |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Cisco pisze o próbach wykorzystania i o udanych przejęciach starszych ASA 5500-X w kampanii wykorzystującej kilka luk zero-day |
Grupy przestępcze | Sprawca kampanii ArcaneDoor (wg Cisco, z wysoką pewnością) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.9 KRYTYCZNA (CVSS 3.1, Cisco) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji; Cisco pracowało z ograniczoną grupą poszkodowanych klientów |
Kto wykrył błąd | Cisco podczas obsługi zgłoszenia TAC, przy wsparciu agencji z Australii, Kanady, Wielkiej Brytanii i USA |
Prognoza EPSS | Około 40% na początku 2026 roku, ponad 70% w sierpniu 2026, powyżej 99. percentyla (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-20333
CVSS 3.1 (Cisco) 9.9/10 ████████████████████ KRYTYCZNA
EPSS (sierpień 2026) >70% ██████████████░░░░░░ BARDZO WYSOKA
EPSS (początek 2026) ~40% ████████░░░░░░░░░░░░ rośnie
CISA KEV + ED 25-03 TAK ████████████████████ termin 1 dzień
Utrwalenie po łatce TAK ████████████████████ wg CISA, kwiecień 2026 2025-05 Agencje rządowe angażują Cisco do badania ataków na ASA 5500-X
2025-09-25 Cisco publikuje biuletyn i poprawki, NVD publikuje CVE;
CISA dodaje lukę do KEV i wydaje dyrektywę ED 25-03
2025-09-26 Termin CISA (rozpoczęcie wdrażania dyrektywy)
2025-09-30 Koniec wsparcia ASA 5525-X, 5545-X i 5555-X
2025-11-05 Cisco: nowy wariant ataku powodujący restarty urządzeń
2025-11-06 Cisco dodaje wydania 9.12.4.72 i 9.14.4.28
2026-04-23 Aktualizacja ED 25-03: utrwalenie w FXOS przetrwa aktualizację
do poprawek z września 2025, ataki na wszystkie ASA i FTD
2026-08-11 Ostatnia aktualizacja wpisu w NVD
2026-08-31 Koniec wsparcia ASA 5506-X, 5508-X i 5516-X
2026-09-17: TUTAJ JESTEŚMY Biuletyn Cisco: cisco-sa-asaftd-webvpn-z5xP8EUB . Strona Cisco o kampanii, wersjach i odzyskiwaniu urządzeń: Continued Attacks Against Cisco Firewalls . Dyrektywa CISA: ED 25-03 i instrukcje wyszukiwania śladów . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-20333 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa zapór Cisco ASA lub FTD z VPN dla pracowników | CTO | DZISIAJ |
2 | Uzyskać pisemnie modele, wersje i wynik Cisco Software Checker dla obu luk | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację lub czasowe wyłączenie VPN opartego o WWW | CTO | DZISIAJ |
4 | Zlecić sprawdzenie zapór pod kątem śladów ataku według Cisco i CISA | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową i ewentualną wymianę zapór | CFO | DO JUTRA |
6 | Sprawdzić daty końca wsparcia posiadanych zapór i przygotować wycenę wymiany | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące sprzętu bez wsparcia | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jakie modele zapór Cisco mamy i na jakich wersjach ASA/FTD działają? | [model], [wersja] | 🔴 |
2 | Czy mamy włączony SSL VPN, IKEv2 client services lub Mobile User Security? | TAK / NIE | 🔴 |
3 | Czy obecna wersja jest poprawiona łącznie dla CVE-2025-20333 i CVE-2025-20362 wg Software Checker? | TAK / NIE | 🔴 |
4 | Czy zapory zostały sprawdzone wg przewodnika Cisco po aktualizacji dyrektywy z kwietnia 2026? | TAK / NIE, [data] | 🔴 |
5 | Czy po aktualizacji wymieniliśmy lokalne hasła, certyfikaty i klucze zapory? | TAK / NIE | 🟠 |
6 | Czy logowanie do VPN wymaga drugiego składnika i czy usunięto konta byłych pracowników? | TAK / NIE | 🟠 |
7 | Czy któraś zapora nie obsługuje Secure Boot lub jest po końcu wsparcia? | TAK / NIE, [lista] | 🟡 |
CVE-2025-20333 pozwala posiadaczowi konta VPN przejąć zaporę Cisco ASA lub FTD z uprawnieniami roota. Luka była wykorzystywana przez sprawcę kampanii ArcaneDoor, CISA dała tylko jeden dzień na reakcję, a w kwietniu 2026 roku potwierdziła mechanizm utrwalenia przetrwający aktualizację. Dziś trzeba zaktualizować zapory do wersji poprawionej dla obu powiązanych luk, a w najbliższych dniach sprawdzić, czy urządzeniom można nadal ufać.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.