TechCrunch relaie que Cisco a confirmé l’exploitation active d’une vulnérabilité zero‑day (CVE‑2025‑20393) visant certains de ses produits email, par un groupe de hackers soutenus par l’État chinois, avec une campagne en cours depuis fin novembre 2025 selon Talos.
🚨 Nature de l’attaque et vulnérabilité: des acteurs étatiques chinois exploitent une zero‑day (CVE‑2025‑20393) affectant les Cisco Secure Email Gateway et Secure Email and Web Manager. La campagne est ciblée, et en cours « au moins depuis fin novembre 2025 ».
📊 Ampleur et exposition: Cisco n’a pas communiqué de chiffres d’impact. La Shadowserver Foundation estime l’exposition « plutôt de l’ordre de quelques centaines » d’organisations, avec suivi en ligne des systèmes exposés. Censys observe 220 passerelles email Cisco exposées sur Internet. Des douzaines de systèmes concernés sont visibles en Inde, Thaïlande et États‑Unis.
⚙️ Conditions d’exploitation: les systèmes sont vulnérables uniquement s’ils sont joignables depuis Internet et si la fonction “spam quarantine” est activée. Cisco précise que ces deux conditions ne sont pas actives par défaut, ce qui explique un volume d’exposition relativement limité.
🛠️ Mesures et état des correctifs: il n’existe pas de correctif à ce stade. Cisco recommande de réinitialiser/essuyer et restaurer l’appliance dans un état sûr. En cas de compromission confirmée, reconstruire l’appliance est « actuellement la seule option viable » pour éliminer le mécanisme de persistance des attaquants.
IOCs et TTPs
- IOCs: non divulgués dans l’article.
- TTPs: exploitation d’une zero‑day sur appliances périmétriques; ciblage d’appliances exposées Internet avec spam quarantine activée; persistance sur l’équipement nécessitant reconstruction pour éradication.
Type d’article: article de presse tech rapportant une vulnérabilité exploitée et l’état de l’exposition/mesures de remédiation.
🔗 Source originale : https://techcrunch.com/2025/12/19/hundreds-of-cisco-customers-are-vulnerable-to-new-chinese-hacking-campaign-researchers-say/