De Amerikaanse senator Bill Cassidy wil dat Cisco meer informatie geeft over twee aangevallen kwetsbaarheden, zo blijkt uit een open brief aan Cisco-topman Chuck Robbins. Aanleiding voor het verzoek is een "emergency directive" van het Amerikaanse cyberagentschap CISA, dat op 25 september werd afgegeven. In het noodbevel werden Amerikaanse overheidsinstanties opgedragen om twee actief aangevallen kwetsbaarheden in de Cisco Secure Firewall Adaptive Security Appliance (ASA) software en Cisco Secure Firewall Threat Defense (FTD) software binnen een dag te installeren.

De FTD- en ASA-software draait op allerlei netwerkapparaten van Cisco, die onder andere voor hun firewall- en vpn-functionaliteit worden gebruikt. CVE-2025-20333 maakt het mogelijk voor een aanvaller die over vpn-inloggegevens van een gebruiker beschikt om kwetsbare code als root uit te voeren en zo het apparaat volledig over te nemen. CVE-2025-20362 maakt het mogelijk voor een ongeauthenticeerde aanvaller om url endpoints met betrekking tot de remote access VPN te benaderen die normaliter alleen na authenticatie zijn te bezoeken.

Door de twee kwetsbaarheden te combineren kan een ongeauthenticeerde remote aanvaller volledige controle over het apparaat krijgen. Aanvallers hebben deze twee beveiligingslekken bij recent waargenomen aanvallen ingezet, aldus Cisco. Volgen senator Cassidy kunnen kwetsbaarheden in de apparatuur van Cisco de internettoegang van miljoenen Amerikanen in gevaar brengen. De senator wil dat Robbins duidelijk maakt hoe Cisco proactief meer informatie over de aanvallen met klanten deelt.

Ook moet de Cisco-CEO duidelijk maken of het bedrijf klanten adviseert om end-of-support apparaten offline te halen of te upgraden, net zoals het CISA afgelopen september aan federale overheidsinstanties liet weten. Verder wil de senator weten hoe Cisco met bepaalde ministeries samenwerkt. Als laatste vraagt Cassidy hoe Cisco individuele klanten over het verhelpen van de kwetsbaarheden inlicht, en dan met name bedrijven die geen Chief Information Security Officer (CISO) hebben. Dat is volgens de senator bij 45 procent van de Amerikaanse bedrijven het geval. De Cisco-CEO is verzocht de vragen voor 27 oktober te beantwoorden.