Cisco Aktif Olarak Kullanılan Tehli̇keli̇ Sıfır Gün Zafi̇yeti̇ Hakkında Uyarıda Bulundu
Cisco, AsyncOS işletim sistemini kullanan bazı e-posta güvenlik cihazlarında henüz kapatılmamış ciddi bir güvenlik açığının saldırılarda kullanıldığını açıkladı. Şirket, Secure Email Gateway ile Secure Email ve Web Manager ürünlerini kullanan kurumları doğrudan ilgilendiren risk için acil önlem çağrısı yaptı. Güvenlik açığı, belirli yapılandırmalara sahip sistemlerde yetkisiz komut çalıştırılmasına yol açıyor.
Çi̇n Merkezli̇ Siber Gruplar Kritik Altyapıları Hedef Alıyor
Cisco tarafından paylaşılan bilgilere göre saldırılar kasım ayının son günlerinde başladı. Güvenlik ekipleri, faaliyetlerin aralık ayı ortasında net şekilde tespit edildiğini aktardı. Cisco, CVE-2025-20393 koduyla takip edilen açığın yalnızca standart dışı ayarlara sahip cihazları etkilediğini belirtti. Şirket, Spam Quarantine özelliği açık olan ve internet üzerinden erişilebilen sistemlerin risk altında bulunduğunu vurguladı. Bu yapılandırmaya sahip cihazlar, saldırganlara kök yetkisiyle komut çalıştırma imkânı tanıyor.
Cisco Talos ekibi, saldırıların arkasında UAT-9686 adıyla izlenen Çin bağlantılı bir tehdit grubunun yer aldığını değerlendirdi. Araştırmacılar, saldırganların AquaShell adlı kalıcı arka kapıyı sistemlere yerleştirdiğini aktardı. Güvenlik raporu, AquaTunnel ile Chisel tabanlı ters SSH tünel araçlarının da saldırılarda kullanıldığını ortaya koydu. Talos ekibi, izlerin geçmişte APT41 gibi gruplarla ilişkilendirilen araçlarla benzerlik gösterdiğini ifade etti.
Cisco Talos, saldırganların sistemlerde iz bırakmamak amacıyla AquaPurge adlı bir günlük temizleme aracından yararlandığını açıkladı. Güvenlik uzmanları, bu araçların uzun süreli erişim sağlamak için tasarlandığını aktardı. Talos raporu, kullanılan altyapının gelişmiş tehdit gruplarıyla uyumlu olduğunu belirtti. Cisco, tehdit aktörünün araç seti ile hedef seçimlerinin dikkatle planlandığını değerlendirdi. Şirket, saldırıların rastgele yapılmadığını vurguladı.
Cisco, güvenlik açığı için henüz resmî bir güncelleme sunmadı. Şirket, yöneticilere riskli sistemlere internet erişimini sınırlandırmalarını önerdi. Cisco, yalnızca güvenilen adreslerden bağlantı izni verilmesini tavsiye etti. Güvenlik ekipleri, cihazların güvenlik duvarı arkasında konumlandırılmasını önemli bir adım olarak gösterdi.
Şirket, e-posta işleme görevleri ile yönetim arayüzlerinin ayrılmasını istedi. Cisco, web günlüklerinin düzenli şekilde izlenmesini gerekli gördü. Güvenlik ekipleri, günlüklerin inceleme amacıyla saklanmasını önerdi.nCisco ayrıca, gereksiz servislerin kapatılmasını istedi. Şirket, güçlü kimlik doğrulama yöntemlerinin tercih edilmesini tavsiye etti. Uzmanlar, varsayılan parolaların değiştirilmesini şart koştu. Yönetim trafiği için SSL ya da TLS sertifikalarının kullanılmasının riski azalttığı belirtildi.
Cisco, cihazlarının etkilenip etkilenmediğini öğrenmek isteyen müşterilere Teknik Destek Merkezi üzerinden kayıt açmalarını önerdi. Şirket, güvenlik bülteninde yer alan adımların eksiksiz uygulanmasını istedi. Cisco, internetten erişilebilen yönetim arayüzlerine sahip cihazlar için çok aşamalı bir güvenlik sürecinin izlenmesini gerekli gördü. Cisco, bazı durumlarda cihazların tamamen yeniden kurulmasının tek çözüm olduğunu açıkladı. Şirket, kalıcılık mekanizmasının bu şekilde temizlenebildiğini vurguladı.
