ArcaneDoor dan Celah Cisco ASA, FTD, serta FMC

ArcaneDoor Cisco adalah kampanye spionase yang mengeksploitasi dua zero-day pada firewall Cisco ASA dan FTD (CVE-2025-20333 dan CVE-2025-20362), sehingga CISA menerbitkan Emergency Directive 25-03 pada 25 September 2025. Pada 2026 giliran Cisco Secure Firewall Management Center (FMC) yang dieksploitasi. Intinya, patch saja tidak cukup bila penyerang sudah menanam persistensi di firmware.

Ringkasan ArcaneDoor dan celah Cisco ASA, FTD, serta FMC

• CVE-2025-20333: eksekusi kode jarak jauh pada web server VPN Cisco Secure Firewall ASA dan FTD, CVSS 9.9, membutuhkan kredensial pengguna VPN yang valid.
• CVE-2025-20362: akses tanpa otorisasi ke URL terbatas pada web server yang sama, CVSS 6.5 dari Cisco (NVD menilai 8.6). Keduanya dilaporkan dirangkai dan masuk KEV pada 25 September 2025 dengan tenggat satu hari.
• CVE-2025-20363: celah eksekusi kode terpisah (CVSS 9.0) yang belum dilaporkan dieksploitasi dan tidak tercantum di KEV.
• FMC 2026: CVE-2026-20079 (authentication bypass hingga root, CVSS 10.0) dan CVE-2026-20316 (kredensial statis akun berhak rendah, CVSS 5.3), keduanya dieksploitasi. CVE-2026-20316 masuk KEV 29 Juli 2026 dengan status penggunaan ransomware "Known", sedangkan CVE-2026-20079 masuk KEV 9 September 2026.

Skor di atas adalah skor CVSS 3.1 dari Cisco; baca pedoman skor di Level Kerentanan dan Skor CVSS.

Kampanye ArcaneDoor pada Cisco ASA dan FTD

Cisco menemukan dua celah pertama saat diminta membantu investigasi serangan terhadap organisasi pemerintah sejak Mei 2025. Perangkat ASA seri 5500-X dengan layanan web VPN aktif dikompromikan, yaitu 5512-X, 5515-X, 5585-X, 5525-X, 5545-X, dan 5555-X. Penyerang menanam malware (UK NCSC menamai RayInitiator dan LINE VIPER), mematikan logging, mencegat perintah CLI, bahkan sengaja membuat perangkat crash untuk menyulitkan diagnosis. Mereka juga memodifikasi ROM perangkat agar bertahan setelah reboot dan upgrade. Perangkat yang terdampak tidak mendukung Secure Boot dan Trust Anchor; menurut Cisco, model lebih baru yang mendukung kedua fitur itu tidak berhasil dikompromikan.

Cisco mengaitkan serangan dengan kampanye ArcaneDoor. SecurityWeek mencatat bukti mengarah pada aktor berbasis Tiongkok, tetapi komunitas luas belum mengonfirmasinya. CISA dalam ED 25-03 menyebut pelakunya aktor ancaman tingkat lanjut dan mencatat penilaian Cisco bahwa kampanye ini terkait aktivitas ArcaneDoor yang pertama teridentifikasi awal 2024. Perlakukan atribusi sebagai penilaian, bukan fakta terbukti.

Emergency Directive 25-03 dan integritas firmware

ED 25-03, 25 September 2025, mewajibkan lembaga federal AS mengidentifikasi semua perangkat ASA dan FTD, mengumpulkan core dump untuk dianalisis CISA, memutus perangkat yang terkompromi tanpa mematikannya, memensiunkan perangkat end-of-support, dan menambal sisanya. Pada 12 November 2025, CISA menemukan sebagian perangkat yang dilaporkan "sudah ditambal" ternyata hanya diperbarui ke versi yang masih rentan, sementara Cisco melaporkan varian serangan baru. Shadowserver menghitung sekitar 48.000 perangkat yang menghadap internet belum ditambal pada awal Oktober 2025, turun menjadi sedikit di atas 32.000 pada pertengahan November 2025.

Pada 23 April 2026 CISA memperbarui ED 25-03 karena patch saja tidak menghilangkan akses penyerang. Direktif kini mencakup seri Firepower dan Secure Firewall; bagi perangkat yang tidak terkompromi, selain patch terbaru diperlukan hard power reset karena reboot biasa tidak menghapus malware. Pelajaran integritas firmware ini berlaku bagi semua organisasi: perangkat yang sempat rentan tidak otomatis bersih setelah update. Fixed release Cisco memeriksa ROM dan menghapus persistensi.

Cisco FMC: bidang manajemen jadi sasaran

Menurut Talos (9 September 2026), ada tiga klaster intrusi. Klaster pertama memakai CVE-2026-20079 untuk menanam web shell dan mencuri kredensial. Klaster kedua, yang menurut Talos memiliki tumpang tindih perangkat dengan Sandworm, memakai salah satu atau kedua celah, mengambil konfigurasi firewall yang dikelola, dan memasang varian Cyclops Blink. Klaster ketiga, operator ransomware dengan taktik konsisten dengan afiliasi Qilin, memakai kredensial statis. CVE-2026-20316 masuk KEV pada 29 Juli 2026. CVE-2026-20079 sebenarnya sudah diperbaiki Cisco pada awal Maret 2026. Hotfix untuk kedua celah sudah tersedia, dan rilis pengerasan menyeluruh dijadwalkan pada pekan pertengahan September 2026; periksa advisori Cisco untuk versi terbarunya.

Langkah defensif untuk pengguna Cisco

1. Inventarisasi ASA, FTD, dan FMC, termasuk model end-of-support, dan ikuti panduan resmi ED 25-03 serta panduan deteksi Cisco.
2. Perbarui firmware ke versi perbaikan dan pastikan tidak berhenti di versi yang masih rentan.
3. Anggap konfigurasi tidak tepercaya bila ada dugaan kompromi, seperti disarankan Cisco; ganti semua kata sandi, sertifikat, dan kunci setelah update.
4. Jauhkan FMC dari internet dan terapkan hotfix. Hunting menurut Talos: web shell di webroot Tomcat, file cmd.jar, perubahan pada license.tmp, penyalahgunaan skrip package_info.pl, serta koneksi keluar seperti reverse SSH atau proxy SOCKS5.
5. Kirim log ke SIEM di luar perangkat, karena penyerang mematikan log lokal.
6. Ganti perangkat usang. NCSC menyarankan memensiunkan ASA 5500-X yang tidak didukung.

Konsep dasarnya ada di Apa Itu Firewall, dan keterkaitannya dengan serangan terhadap perangkat tepi di Keamanan Perangkat Edge.

Linimasa singkat

• Mei 2025: Cisco mulai membantu investigasi serangan.
• 25 September 2025: patch, KEV dengan tenggat satu hari, dan ED 25-03.
• 12 November 2025: CISA menemukan perangkat diperbarui ke versi masih rentan.
• Awal Maret 2026: CVE-2026-20079 diperbaiki Cisco.
• 23 April 2026: ED 25-03 diperbarui untuk Firepower dan Secure Firewall.
• 29 Juli 2026: CVE-2026-20316 diungkap, diperbaiki, dan masuk KEV.
• 9 September 2026: Talos melaporkan eksploitasi FMC dan CVE-2026-20079 masuk KEV.

Pertanyaan yang Sering Diajukan

Apakah ArcaneDoor dan zero-day Cisco 2025 sudah selesai?

Tidak. Perangkat yang sempat dikompromikan bisa tetap menyimpan persistensi di firmware walaupun sudah di-patch, dan ED 25-03 diperluas pada April 2026.

Apakah firewall Cisco di organisasi saya perlu diganti?

Model ASA 5500-X yang sudah tidak didukung dan tidak punya Secure Boot sebaiknya dipensiunkan, seperti saran NCSC. Model baru tetap perlu patch dan pemantauan.

Apa bedanya reboot dan hard power reset?

Menurut pembaruan ED 25-03 April 2026, reboot biasa tidak menghapus malware pada perangkat Firepower dan Secure Firewall yang tidak terkompromi, sehingga CISA meminta hard power reset setelah patch terbaru dipasang. Untuk perangkat yang terkompromi, perangkat harus tetap menyala dan diputus dari jaringan sambil berkoordinasi dengan CISA.

Mengapa FMC penting dilindungi?

FMC mengelola banyak firewall. Penyerang yang masuk dapat mencuri konfigurasi dan kredensial semua perangkat yang dikelolanya.

Kesimpulan

ArcaneDoor menunjukkan bahwa firewall sendiri adalah target spionase dan ransomware, dan bahwa patch tanpa pemeriksaan integritas, rotasi kredensial, serta penggantian perangkat usang hanya menyelesaikan sebagian masalah. Prioritaskan sesuai CISA KEV dan ikuti pendekatan patch management berbasis risiko. Tim Linuxhackingid dapat membantu mengaudit perimeter Anda lewat layanan asesmen keamanan. Rujukan: SecurityWeek dan ED 25-03 CISA.