Cisco обяви фиксиране на критична Remote Code Execution (RCE) уязвимост, CVE-2026-20045, която вече се експлоатира като zero-day.
Засегнати системи:
-
Cisco Unified Communications Manager (Unified CM)
-
Unified CM Session Management Edition (SME)
-
Unified CM IM & Presence
-
Cisco Unity Connection
-
Webex Calling Dedicated Instance
Причина за уязвимостта: неправилна валидация на входящи HTTP заявки. Атакуващ може да изпрати поредица от специално създадени HTTP заявки към уеб интерфейса за управление на устройството.
Рискове при успешна експлоатация:
-
Получаване на достъп на ниво потребител към операционната система
-
Ескалация до root права на сървъра
Макар CVSS да е 8.2, Cisco я класифицира като Critical, тъй като води до пълен контрол над системата.
Пуснати версии и пачове
| Продукт / Версия | Първа фиксирана версия / пач |
|---|---|
| Unified CM / IM&P / SME / Webex Calling DI | 12.5 – мигрирайте към фиксирана версия |
| 14 | 14SU5 или пач: ciscocm.V14SU4a_CSCwr21851_remote_code_v1.cop.sha512 |
| 15 | 15SU4 (Mar 2026) или пачове: ciscocm.V15SU2_CSCwr21851_remote_code_v1.cop.sha512, ciscocm.V15SU3_CSCwr21851_remote_code_v1.cop.sha512 |
| Unity Connection | 12.5 – мигрирайте към фиксирана версия |
| 14 | 14SU5 или пач: ciscocm.cuc.CSCwr29208_C0266-1.cop.sha512 |
| 15 | 15SU4 (Mar 2026) или пач: ciscocm.cuc.CSCwr29208_C0266-1.cop.sha512 |
Важно: пачовете са специфични за всяка версия, затова се препоръчва да се прегледа README преди инсталация.
Препоръки и мерки
-
Cisco PSIRT потвърди, че се наблюдават опити за експлоатация в реалния свят.
-
Няма налични временно решения (workarounds) за смекчаване на риска без инсталиране на обновления.
-
Клиентите трябва да ъпдейтнат системите възможно най-скоро.
CISA добави CVE-2026-20045 в Known Exploited Vulnerabilities (KEV) Catalog, като федералните агенции трябва да приложат пачове до 11 февруари 2026.
CVE-2026-20045 е критична уязвимост, позволяваща пълен достъп до засегнати сървъри. Потребителите на Cisco Unified Communications, Webex Calling и Unity Connection трябва незабавно да инсталират наличните пачове и да проверят версиите на системите си.
