Il 25 settembre Cisco ha pubblicato le correzioni per due vulnerabilità nei firewall Secure Firewall ASA e Firewall Threat Defense (FTD), già sfruttate come zero-day. Lo stesso giorno la CISA, l’agenzia statunitense per la cybersicurezza, ha emesso una direttiva d’emergenza che impone agli enti federali di cercare segni di compromissione entro 24 ore. Quando una direttiva concede un giorno solo, il problema è serio.
La prima falla, CVE-2025-20333 con gravità 9,9, sta nel server web della VPN e permette a un utente VPN autenticato di eseguire codice come root. La seconda, CVE-2025-20362 con gravità 6,5, permette a chiunque, senza credenziali, di raggiungere indirizzi riservati della VPN. Da sola sembra poca cosa. Messa davanti alla prima, elimina il requisito di autenticazione, e il risultato è il controllo completo del firewall da remoto. Cisco ha corretto anche una terza falla, CVE-2025-20363 con gravità 9,0, che per ora non risulta sfruttata.
Il ritorno di ArcaneDoor
Cisco collega gli attacchi ad ArcaneDoor, la campagna di spionaggio scoperta ad aprile 2024 e attribuita a un gruppo sponsorizzato da uno Stato. All’epoca gli stessi attaccanti avevano preso di mira gli stessi dispositivi. Stavolta sono andati più a fondo: disattivano i log, intercettano i comandi e, sui modelli ASA 5500-X privi di avvio sicuro, modificano la ROM del dispositivo, così da sopravvivere a riavvii e aggiornamenti. Molti di questi modelli sono già a fine supporto o lo saranno a breve. Sui modelli recenti l’avvio sicuro rileva la manomissione.
Quando il codice malevolo si installa nel firmware di avvio, aggiornare il software non basta: il dispositivo può restare compromesso anche con la patch installata. Il firewall che continua a funzionare in un armadio da dieci anni è esattamente quello che nessuno controlla. Quale Stato ci sia dietro, Cisco non lo ha detto.
Aggiorna ASA e FTD alle versioni corrette indicate da Cisco per il tuo ramo e verifica che i log non siano stati disattivati. Limita l’esposizione dei servizi web della VPN a ciò che serve davvero.
Se hai ancora modelli ASA 5500-X, segui le istruzioni di Cisco per verificare l’integrità della ROM e metti la sostituzione nel budget di quest’anno, non del prossimo. Se trovi segni di compromissione, ripristina il dispositivo e cambia tutte le credenziali, i certificati e le chiavi che vi erano configurati.
