Cisco a publié un avis de sécurité urgent après avoir confirmé qu'une vulnérabilité critique, activement exploitée dans ses appliances Secure Email Gateway, est utilisée par des attaquants pour exécuter du code malveillant avec des privilèges root. La faille, suivie sous le nom de CVE-2025-20393, affecte à la fois les appareils Cisco Secure Email Gateway physiques et virtuels ainsi que les appliances Cisco Secure Email and Web Manager, et son exploitation ne nécessite aucune authentification.

Ce qui rend cette vulnérabilité Cisco si dangereuse

La vulnérabilité provient d'une validation incorrecte des entrées dans l'interface AsyncOS Spam Quarantine, un composant intégré aux appliances de sécurité des e-mails Cisco concernées pour gérer les messages suspectés de spam. Comme la faille peut être déclenchée à distance et sans identifiants valides, un attaquant situé n'importe où sur Internet peut potentiellement envoyer une requête crafted à un appareil vulnérable et exécuter des commandes arbitraires. Pire encore, une exploitation réussie accorde des privilèges root, le niveau d'accès système le plus élevé, ce qui signifie qu'un attaquant qui compromet l'appareil en prend effectivement le contrôle total.

Cette combinaison de facteurs — aucune authentification requise, exploitation à distance et résultat au niveau root — place CVE-2025-20393 fermement dans la catégorie des failles de sévérité maximale. Les chercheurs en sécurité qui suivent l'activité d'exploitation ont lié les attaques à un groupe de menace soupçonné d'être lié à la Chine, identifié dans certains rapports comme UAT-9686, bien que l'avis de Cisco lui-même se concentre sur les détails techniques de la vulnérabilité et l'urgence du correctif plutôt que sur l'attribution.

Ce qui rend cet incident particulièrement notable, c'est que les appliances Secure Email Gateway se trouvent en première ligne de l'infrastructure de communication d'une organisation. Ces appareils sont spécifiquement conçus pour inspecter, filtrer et mettre en quarantaine les e-mails entrants avant qu'ils n'atteignent les boîtes de réception des employés. Une compromission réussie n'expose pas seulement l'appliance elle-même ; elle donne potentiellement aux attaquants un point d'ancrage pour intercepter, rediriger ou manipuler le trafic e-mail à travers toute une organisation, ainsi qu'un point de départ pour s'enfoncer plus profondément dans les réseaux internes.

Un schéma d'appliances de sécurité exploitées

Il ne s'agit pas d'un événement isolé. Au cours des derniers mois, les équipes de sécurité ont suivi un flux constant de vulnérabilités zero-day exploitées dans les appliances mêmes sur lesquelles les organisations comptent pour rester sécurisées. SonicWall, par exemple, a récemment exhorté ses clients à corriger deux zero-days SMA1000 en chaîne après avoir confirmé une exploitation active, à la suite d'un incident antérieur au cours duquel le groupe de rançongiciel INC a exploité les failles SonicWall SMA 1000 pendant 22 jours avant qu'un correctif ne devienne disponible. De même, Palo Alto Networks a confirmé qu'un contournement d'authentification GlobalProtect VPN, CVE-2026-0257, était activement exploité dans la nature.

Le fil conducteur de ces incidents est clair : les appliances de sécurité et de réseau destinées à protéger le périmètre d'une organisation sont de plus en plus des cibles attractives, précisément en raison de l'accès privilégié et de la confiance qu'elles détiennent. Lorsque les attaquants compromettent une passerelle, un concentrateur VPN ou une appliance de sécurité des e-mails, ils obtiennent une position qui peut contourner bon nombre des défenses conçues pour les terminaux et comptes utilisateurs ordinaires.

Implications pour la vie privée des organisations et des utilisateurs

Les enjeux de confidentialité ici vont au-delà de la compromission technique immédiate. Les passerelles de messagerie traitent d'énormes volumes de correspondance sensible, notamment des communications internes, des données clients, des informations financières et des identifiants partagés dans les messages. Si les attaquants obtiennent un accès root à une appliance Secure Email Gateway, ils peuvent être en mesure de lire, d'exfiltrer ou de manipuler ce trafic sans détection. Ce type d'accès peut également être exploité pour des attaques de suivi, notamment des campagnes d'ingénierie sociale qui utilisent des communications internes interceptées ou usurpées pour inciter les employés à compromettre davantage les systèmes ou à divulguer des informations sensibles supplémentaires.

Pour les organisations qui traitent des données réglementées, telles que les dossiers médicaux, les informations financières ou les données personnelles des clients, une passerelle de messagerie compromise peut déclencher des obligations de conformité et de notification de violation bien au-delà de l'incident technique initial.

Ce que cela signifie pour vous

Si votre organisation utilise des appliances Cisco Secure Email Gateway ou Cisco Secure Email and Web Manager avec la fonctionnalité Spam Quarantine activée, cette vulnérabilité doit être traitée comme une priorité immédiate. Cisco a publié un avis de sécurité détaillant les produits concernés et les étapes nécessaires pour vérifier l'exposition. Les équipes informatiques et de sécurité doivent confirmer si leurs appliances déployées exécutent une configuration vulnérable, appliquer sans délai les correctifs ou atténuations disponibles de Cisco, et examiner les journaux des appliances pour détecter des signes d'activité inhabituelle, car la vulnérabilité a déjà été exploitée dans la nature plutôt que de n'exister qu'en tant que risque théorique.

Même les organisations qui estiment ne pas être directement affectées devraient considérer cela comme un rappel de vérifier quelles appliances de sécurité exposées à Internet elles exploitent et de confirmer que les processus de gestion des correctifs pour ces appareils sont à jour et étroitement surveillés.

Points à retenir concrets

Vérifiez si votre organisation utilise des appliances Cisco Secure Email Gateway ou Secure Email and Web Manager avec la fonctionnalité Spam Quarantine active, et consultez l'avis officiel de Cisco pour les dernières recommandations. Appliquez les correctifs ou les atténuations recommandées dès qu'ils sont disponibles plutôt que d'attendre une fenêtre de maintenance de routine. Examinez les journaux de la passerelle de messagerie pour détecter des commandes non autorisées ou une activité administrative inattendue. Enfin, traitez les appliances de sécurité exposées à Internet, les passerelles et les concentrateurs VPN comme des cibles de grande valeur dans vos propres évaluations des risques, car les incidents récents montrent que les attaquants recherchent activement des failles dans exactement ces systèmes.