Cisco ASA ve Firepower cihazlarında keşfedilen sıfır gün (zero-day) açıkları aktif olarak istismar ediliyor. CISA, federal kurumlara acil önlem alma talimatı verdi.

Cisco, Cisco Secure Firewall Adaptive Security Appliance (ASA) ve Cisco Secure Firewall Threat Defense (FTD) yazılımlarında bulunan iki kritik güvenlik açığı için müşterilerini acil şekilde uyardı. Şirket, bu açıkların saldırganlar tarafından aktif olarak kullanıldığını doğruladı.

Etkilenen zafiyetler:

• CVE-2025-20333 (CVSS 9.9): VPN web sunucusunda HTTP(S) isteklerinin yanlış doğrulanması nedeniyle, geçerli VPN kullanıcı bilgilerine sahip bir saldırganın özel hazırlanmış HTTP istekleriyle root yetkisiyle uzaktan kod çalıştırmasına imkan veriyor.
• CVE-2025-20362 (CVSS 6.5): Kimliği doğrulanmamış saldırganların özel hazırlanmış HTTP istekleri ile yetkisiz URL uç noktalarına erişmesine izin veriyor.

Cisco, saldırıların kim tarafından gerçekleştirildiğini açıklamazken, güvenlik uzmanları bu iki açığın zincirleme şekilde kullanılarak kimlik doğrulamanın atlandığını ve kötü amaçlı kodların çalıştırıldığını değerlendiriyor.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), federal kurumlara yönelik acil durum direktifi (ED 25-03) yayımladı. Bu kapsamda kurumlara, sistemlerini analiz ederek 24 saat içinde gerekli yamaları uygulamaları talimatı verildi.

CISA ayrıca bu açıkların, daha önce ArcaneDoor isimli tehdit kümesiyle ilişkilendirilen UAT4356 (Storm-1849) grubu tarafından istismar edildiğini duyurdu. Bu aktörün 2024’ten beri Cisco ASA cihazlarının ROM belleğini değiştirme kabiliyetine sahip olduğu biliniyor.

Bu durum, etkilenen ağlarda ciddi güvenlik riski oluşturuyor.