Cisco : des zero-days dans le portail VPN ouvrent les pare-feu ASA aux attaquants

Le portail VPN d'un pare-feu ne doit laisser entrer que les utilisateurs autorisés. Sur les solutions Secure Firewall ASA et Firepower Threat Defense (FTD) de Cisco, il pouvait être déjoué grâce à deux failles zero-day : CVE-2025-20362 ouvre sans authentification des zones protégées du serveur web VPN, CVE-2025-20333 y permet l'exécution de code malveillant avec les droits root. Enchaînées, elles donnent selon Cisco à un attaquant dépourvu d'identifiants le contrôle total de l'équipement. Cisco a publié ces failles le 25 septembre 2025 ; le même jour, l'agence américaine CISA a émis la directive d'urgence ED 25-03. Il n'existe aucun contournement : seule la mise à jour ou la désactivation des services web VPN permet de se protéger.

De quoi s'agit-il

Le serveur web VPN est la partie du pare-feu par laquelle les collaborateurs se connectent depuis l'extérieur via AnyConnect ou Secure Client. La première faille, CVE-2025-20362, est une absence de contrôle d'autorisation : des requêtes HTTPS forgées atteignent des points de terminaison URL qui ne devraient être accessibles qu'après authentification. La seconde, CVE-2025-20333, est un dépassement de tampon qui nécessite normalement des identifiants VPN valides. C'est précisément cet obstacle que la première faille fait disparaître.

Les données clés selon les avis de sécurité Cisco du 25 septembre 2025 :

• Gravité : CVE-2025-20333 avec un score CVSS de 9.9 (« Critical »), CVE-2025-20362 avec un score CVSS de 6.5 (« Medium »). La valeur moyenne est trompeuse : c'est la combinaison des deux qui rend l'attaque possible sans authentification.
• Produits concernés : logiciels ASA et FTD lorsque des services web VPN sont actifs – SSL VPN (webvpn), accès distant AnyConnect IKEv2 avec Client Services et, pour ASA, également Mobile User Security.
• Corrigé dans : selon la branche de version, pour les deux failles par exemple ASA 9.18.4.67, 9.20.4.10, 9.22.2.14 et 9.23.1.19 ainsi que FTD 7.2.10.2, 7.4.2.4, 7.6.2.1 et 7.7.10.1. Le Software Checker de Cisco vous renseigne sur votre propre version.
• Condition préalable à l'attaque : un service web VPN accessible depuis Internet – c'est-à-dire précisément la raison d'être d'un portail VPN.
• Conséquence : exécution de code en tant que root et donc prise de contrôle complète du pare-feu.

Le même jour, Cisco a publié une troisième faille, CVE-2025-20363 (CVSS 9.0), qui touche non seulement ASA et FTD, mais aussi IOS, IOS XE et IOS XR. Au moment de la publication, aucun indice d'exploitation n'avait été relevé pour celle-ci.

Pourquoi c'est urgent

Ces attaques ne sont pas l'œuvre d'un attaquant opportuniste. Selon ses propres déclarations, Cisco a été sollicité dès mai 2025 par plusieurs autorités pour enquêter sur des attaques visant des équipements ASA de la série 5500-X. L'entreprise attribue cette activité « avec un haut degré de confiance » au même acteur que la campagne d'espionnage ArcaneDoor, sur laquelle Cisco avait communiqué début 2024. Les attaquants désactivaient la journalisation, interceptaient les commandes en ligne de commande et provoquaient délibérément le plantage des équipements afin d'empêcher toute analyse.

Les équipements compromis étaient d'anciens modèles dépourvus de Secure Boot (5512-X, 5515-X, 5525-X, 5545-X, 5555-X et 5585-X). Sur ces modèles, les attaquants ont modifié le ROM Monitor afin de survivre aux redémarrages et aux mises à jour. Le NCSC britannique a analysé les logiciels malveillants utilisés : le bootkit RayInitiator et le loader LINE VIPER, capable d'exécuter des commandes, de capturer le trafic réseau et de supprimer des messages syslog. LINE VIPER est notamment piloté via des sessions d'authentification WebVPN – c'est-à-dire via le portail même par lequel l'intrusion a eu lieu. Sur les plateformes plus récentes dotées de Secure Boot, Cisco n'a constaté aucune compromission réussie.

La CISA a réagi avec une fermeté inhabituelle : les agences fédérales américaines ont dû recenser tous leurs équipements ASA et Firepower, soumettre avant le 26 septembre des images mémoire pour analyse forensique, déconnecter du réseau avant le 30 septembre les équipements ne bénéficiant plus du support constructeur et mettre à jour immédiatement les autres. La surface d'attaque est considérable : fin septembre, selon Cybersecurity Dive, la Shadowserver Foundation recensait près de 50 000 équipements vulnérables accessibles depuis Internet – l'Allemagne figurant parmi les cinq pays les plus touchés.

Ce que vous devriez faire maintenant

1. Faire l'inventaire. Déterminez quels équipements ASA et FTD vous exploitez, avec quelle version logicielle, et si des services web VPN (SSL VPN ou IKEv2 avec Client Services) sont actifs.
2. Mettre à jour. Installez le correctif indiqué pour votre branche de version. Selon Cisco, la mise à jour vérifie également au démarrage le ROM Monitor des équipements concernés et supprime le mécanisme de persistance connu.
3. Remplacer le matériel ancien. Les modèles ASA 5500-X dépourvus de Secure Boot sont en fin de support ou sur le point de l'être. Le NCSC recommande de les remplacer partout où cela est possible.
4. Désactiver à titre transitoire si la mise à jour n'est pas immédiatement possible : Cisco cite la désactivation de tous les services web VPN basés sur SSL/TLS comme mesure temporaire. Cela interrompt toutefois l'accès distant via ces services.
5. Rechercher une compromission. Cisco et le NCSC ont publié des indications et des règles de détection. En cas de soupçon, n'éteignez pas l'équipement mais déconnectez-le du réseau, considérez l'ensemble de la configuration comme non fiable et renouvelez tous les mots de passe, certificats et clés – idéalement avec le support Cisco.

Ce que cela signifie pour la protection des pare-feu

Ce cas montre à quel point tout repose sur un seul équipement. Le pare-feu doit protéger le réseau, mais son portail VPN doit pour cela être accessible depuis Internet – et devient ainsi lui-même une cible. Dans ce cas, Cisco enquêtait sur les attaques depuis mai, les correctifs sont arrivés en septembre. Et même après la publication, il faut du temps pour que chaque équipement soit mis à jour.

NetProtector intervient donc en amont. L'appliance fonctionne en ligne devant le pare-feu et inspecte le trafic avant qu'il n'atteigne le portail VPN :

• L'infrastructure d'attaque connue est bloquée. Les scans à la recherche de portails VPN accessibles et les tentatives d'attaque à grande échelle proviennent souvent d'adresses que le réseau de capteurs NetProtector a déjà observées ailleurs. Ces sources sont bloquées avant même de pouvoir solliciter votre pare-feu.
• Les anomalies sont détectées. Le sondage systématique des types et versions d'équipements, les tentatives d'authentification par force brute ou les connexions anormalement nombreuses au service VPN ressortent dans le flux de données – des schémas qui précèdent souvent les attaques ciblées.
• Gagner du temps jusqu'à la mise à jour. NetProtector ne remplace pas le correctif et ne détecte pas chaque exploit ciblé. Il réduit cependant le nombre d'attaquants qui atteignent le portail vulnérable – précisément pendant la phase où une faille est connue mais pas encore corrigée partout.

Découvrez comment NetProtector détecte l'infrastructure d'attaque et s'intègre sans modification entre le routeur et le pare-feu sur la page Comment fonctionne NetProtector.

Notre analyse

Cisco a travaillé pendant des mois avec les autorités pour faire la lumière sur cette affaire et a divulgué les failles conjointement avec la CISA et le NCSC – c'est la bonne manière de gérer un tel cas. La leçon dépasse un seul constructeur : les portails VPN sont une cible de choix, y compris pour des attaquants soutenus par des États, et les équipements dépourvus de mécanismes de protection actuels comme Secure Boot sont particulièrement difficiles à défendre. La sécurité de l'accès distant exige donc plusieurs niveaux : des mises à jour rapides, un matériel remplacé à temps, des authentifications surveillées – et une couche en amont qui tient les attaquants connus à distance avant qu'ils n'atteignent le pare-feu.

Sources

• Cisco Event Response: Continued Attacks Against Cisco Firewalls
• Cisco Security Advisory: cisco-sa-asaftd-webvpn-z5xP8EUB (CVE-2025-20333)
• Cisco Security Advisory: cisco-sa-asaftd-webvpn-YROOTUW (CVE-2025-20362)
• CISA: ED 25-03 – Identify and Mitigate Potential Compromise of Cisco Devices
• NCSC: Malware Analysis Report RayInitiator & LINE VIPER
• Cybersecurity Dive: Cisco firewall flaws endanger nearly 50,000 devices worldwide