Cisco, Unified Contact Center Express (Unified CCX) platformunda tespit edilen ve Eylül 2025 sonunda kamuoyuna açıklanan iki kritik güvenlik açığına ilişkin yeni bir uyarı yayınladı. CVE-2025-20333 ve CVE-2025-20362 kodlu bu açıklar, özellikle yamalanmamış cihazlarda beklenmedik yeniden başlatmalara ve hizmet reddi (DoS) saldırılarına zemin hazırlayabiliyor. Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC) tarafından bildirildiği üzere, RayInitiator ve LINE VIPER gibi gelişmiş kötü amaçlı yazılım aileleri tarafından sıfır gün (zero-day) saldırılarında aktif olarak kullanıldığı gözlemlendi.
Teknik Detaylar ve Saldırı Vektörleri
CVE-2025-20333, saldırganların özel olarak hazırlanmış HTTP istekleri aracılığıyla sistemde root ayrıcalıklarıyla rastgele kod çalıştırmasına olanak tanıyor. Bu, özellikle MCP istemcisi gibi uzaktan yönetim araçlarının bulunduğu ortamlarda kritik risk teşkil ediyor. Öte yandan CVE-2025-20362, kimlik doğrulama mekanizmasını atlayarak kısıtlı URL’lere erişim sağlıyor ve bu da saldırganların sistem üzerinde yetkisiz hareket etmesine imkan veriyor. Bu zafiyet, Pydantic AI tabanlı kimlik doğrulama süreçlerinde de benzer bypass senaryolarına yol açabilir.
Ek Güvenlik Açıkları ve Etkilenen Sürümler
Cisco, aynı zamanda CVE-2025-20354 ve CVE-2025-20358 kodlu kritik güvenlik açıklarını da kapattı. CVE-2025-20354, Java Remote Method Invocation (RMI) sürecinde rastgele dosya yüklemeye ve root yetkileriyle komut çalıştırmaya izin verirken, CVE-2025-20358 ise Contact Center Express Editor uygulamasında kimlik doğrulama atlatma ve yönetici yetkisi kazanma imkanı sunuyor. Bu açıklar, özellikle konteyner tabanlı dağıtımlarda rastgele SSH portlarının kullanıldığı sistemlerde saldırganların lateral hareket kabiliyetini artırabilir.
Yamaların uygulandığı sürümler arasında Cisco Unified CCX 12.5 SU3 ES07 ve 15.0 ES01 bulunuyor. Ayrıca, CVE-2025-20343 kodlu yüksek şiddette bir DoS açığı için de yamalar yayınlandı. Bu DoS açığı, RADIUS erişim istekleri işlenirken ortaya çıkan mantık hatasından kaynaklanıyor ve saldırganlar tarafından çok sayıda özel hazırlanmış RADIUS mesajı gönderilerek cihazların beklenmedik şekilde yeniden başlatılması sağlanabiliyor.
Saldırıların Sahada Kullanımı ve Korunma Önerileri
Şu ana kadar bu üç güvenlik açığının sahada kullanıldığına dair doğrudan kanıt bulunmamakla birlikte, saldırganların AsyncRAT gibi gelişmiş uzaktan erişim araçlarıyla bu zafiyetleri entegre ederek karmaşık saldırılar düzenleme ihtimali göz ardı edilmemeli. Cisco, müşterilerini mümkün olan en kısa sürede güncellemeleri uygulamaya ve güvenlik duvarı ile kimlik doğrulama sistemlerini sıkılaştırmaya çağırıyor. Özellikle MCP istemcisi ve Pydantic AI tabanlı kimlik doğrulama süreçlerinin bulunduğu ortamlarda ek güvenlik önlemleri alınması tavsiye ediliyor.
Bu gelişmeler ışığında, siber güvenlik profesyonellerinin sistemlerini düzenli olarak izlemeleri, yamaları zamanında uygulamaları ve saldırı tespit sistemlerini (IDS/IPS) güncel tutmaları kritik önem taşıyor. Ayrıca, konteynerlerin rastgele SSH portları üzerinden yönetildiği ortamlarda erişim kontrollerinin sıkılaştırılması ve anormal trafik analizlerinin yapılması öneriliyor.