Cisco alertó sobre dos vulnerabilidades críticas que están siendo explotadas para forzar reinicios constantes en dispositivos ASA y FTD. Estas brechas, identificadas como CVE-2025-20362 y CVE-2025-20333, permiten a atacantes remotos acceder a puntos de conexión restringidos sin autenticación y ejecutar código en dispositivos vulnerables.
Combinadas, estas vulnerabilidades permiten el control total de sistemas no parchados. Cisco publicó actualizaciones de seguridad el 25 de septiembre para corregir ambas brechas. Ese mismo día, la agencia CISA emitió una directiva urgente pidiendo proteger los firewalls contra ataques que utilicen estas vulnerabilidades.
Shadowserver detecta más de 34.000 dispositivos expuestos
El servicio de monitoreo Shadowserver rastrea más de 34.000 instancias de ASA y FTD expuestas a Internet, vulnerables a los ataques mencionados. Esta cifra es menor que la detectada en septiembre.
Ataques DoS vinculados a campaña ArcaneDoor
Cisco reveló previamente nuevas vulnerabilidades en dispositivos ASA 5500-X con servicios web VPN habilitados, descubiertas en colaboración con varias agencias gubernamentales. El portavoz de Cisco indicó que atribuye los ataques a un grupo patrocinado por un estado responsable de la campaña ArcaneDoor de 2024.
El 5 de noviembre, Cisco tuvo conocimiento de una nueva variante de ataque que puede provocar reinicios inesperados en dispositivos sin parchear, generando una denegación de servicio (DoS).
Vinculación con la campaña ArcaneDoor
CISA y Cisco vincularon los ataques a la campaña ArcaneDoor, que explotó dos vulnerabilidades de día cero en firewalls de Cisco para infiltrarse en redes gubernamentales. El grupo UAT4356 (identificado como STORM-1849 por Microsoft) implementó el cargador Line Dancer y el malware Line Runner para mantener la persistencia.
Corrección de otras vulnerabilidades
Cisco solucionó una tercera vulnerabilidad crítica (CVE-2025-20363) en su software Cisco IOS y firewall, pero no la vinculó directamente con los ataques que explotan las vulnerabilidades CVE-2025-20362 y CVE-2025-20333.
Los atacantes han comenzado a explotar otra vulnerabilidad de ejecución remota de código (CVE-2025-20352) en dispositivos de red de Cisco para desplegar malware rootkit en sistemas Linux desprotegidos.
Actualizaciones adicionales
Cisco publicó actualizaciones de seguridad para corregir fallos críticos en su software Contact Center, que podrían permitir a los atacantes eludir la autenticación (CVE-2025-20358) y ejecutar comandos con privilegios de administrador (CVE-2025-20354).