Cisco, Kasım 2025’ten bu yana siber saldırganlar tarafından aktif şekilde istismar edilen kritik bir güvenlik açığını nihayet kapattı. “CVE-2025-20393” olarak kayıtlara geçen bu zafiyet, özellikle Secure Email Gateway ve Secure Email and Web Manager cihazlarını hedef alıyordu.
Çin Bağlantılı Siber Korsanlar Cisco Sistemlerine Sızmak İçin Bu Açığı Kullandı
Şirketin Aralık ayında yaptığı açıklamaya göre açık, standart dışı yapılandırmalara sahip ve Spam Karantina özelliği etkin olan cihazları etkiliyordu. Bu cihazların internete açık olması riski büyük ölçüde artırıyordu.
Cisco’nun yayınladığı güvenlik özetinde açıklanan detaylara göre zafiyet, uygunsuz girdi doğrulamasından kaynaklanıyor. Saldırganlar bu açığı başarılı şekilde kullandığında, hedeflenen cihazın temel işletim sisteminde kök seviyesinde keyfi komutlar çalıştırabiliyor. Bu durum cihaz üzerinde tam kontrol anlamına geliyor. Söz konusu güvenlik açığı için gerekli düzeltme, Cisco’nun yayınladığı güvenlik danışma belgesinde açıklandı. Kullanıcıların etkilenen cihazlarını güncel ve güvenli yazılım sürümüne yükseltmeleri gerekiyor.
Cisco’un tehdit zekası birimi Talos, yaptığı araştırmalar sonucunda saldırıların arkasında “UAT-9686” olarak takip edilen bir grup olduğunu tespit etti. Analizlere göre bu grup, Çin bağlantılı gelişmiş bir kalıcı tehdit aktörü olarak değerlendiriliyor.
Saldırı kampanyasında aktörler, sistemde kalıcılık sağlamak için “AquaShell” adlı özel bir arka kapı kullandı. Buna ek olarak “AquaTunnel” ve “Chisel” gibi ters SSH tüneli implantları ile sistem loglarını temizlemeye yarayan “AquaPurge” aracını da konuşlandırdıkları gözlemlendi. Talos araştırmacıları, kullanılan araçlar ve altyapı benzerlikleri nedeniyle UAT-9686 ile bilinen diğer Çin menşeli gruplar APT41 ve UNC5174 arasında bağlantı olabileceğine dikkat çekiyor.
Amerika Birleşik Devletleri Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA) da bu açığı 17 Aralık’ta bilinen istismar edilen güvenlik açıkları kataloğuna ekledi. CISA, bağlayıcı operasyonel direktifi gereği federal kurumlara Cisco’nun rehberliğinde sistemlerini bir hafta içinde güvence altına alma talimatı verdi.
Ajans yayınladığı uyarıda, bu tür zafiyetlerin kötü niyetli siber aktörler için sık kullanılan saldırı vektörleri olduğunu ve federal kuruluşlar için ciddi risk oluşturduğunu vurguladı. Tüm kullanıcıları, Cisco’nun önerdiği adımları uygulamaya ve internete açık etkilenebilir cihazlarında olası bir güvenlik ihlali işareti aramaya çağırdı.
Siber güvenlik uzmanları, özellikle e-posta güvenlik sistemlerini hedef alan bu tarz gelişmiş saldırıların, kurumsal ağlara sızmak için kritik bir başlangıç noktası olabileceği konusunda uyarıyor.
