Cisco、Unified CMの重大な脆弱性のPoCが公開中と警告

Ciscoは水曜日、Unified Communications Manager（Unified CM）およびUnified Communications Manager Session Management Edition（Unified CM SME）の高深刻度の脆弱性に対するパッチをリリースし、概念実証（PoC）コードが公開されていると警告しました。

CVE-2026-20230（CVSSスコア8.6）として追跡されているこの脆弱性は、特定のHTTPリクエストにおける入力値の検証が不十分であることに起因しており、攻撃者がサーバーサイドリクエストフォージェリ（SSRF）攻撃を仕掛けることを可能にします。

「攻撃者は細工したHTTPリクエストを脆弱なデバイスに送信することでこの脆弱性を悪用できます。悪用に成功した場合、攻撃者は基盤となるオペレーティングシステムにファイルを書き込み、後でroot権限への昇格に利用できる可能性があります」と、Ciscoはアドバイザリの中で説明しています。

同社によると、この脆弱性は攻撃者が影響を受けるデバイスでroot権限を取得できる可能性があるため、クリティカルとみなすべきだとしています。

CiscoはまたWebDialerサービスが有効化されているアプライアンスのみが影響を受けると述べています。このサービスはデフォルトで無効になっています。

Ciscoは脆弱性を修正したUnified CMおよびUnified CM SMEのバージョン14SU6をリリースしました。また、9月リリース予定のバージョン15SU5にも同パッチを含める計画です。

「Cisco PSIRTは、このアドバイザリに記載された脆弱性に対する概念実証エクスプロイトコードが公開されていることを把握しています」と同社は述べており、このCVEは実際の攻撃には悪用されていないと付け加えています。

Ciscoはまた水曜日、Webex MeetingsおよびFinesseに存在する2件の中程度の深刻度の脆弱性に対する修正もリリースしました。これらの脆弱性を悪用することで、認証されていないリモートの攻撃者がXSS攻撃を実行したり、アクティブなユーザーセッションに任意のファイルを読み込ませたりできると警告しています。

いずれの問題もユーザー入力の検証が不十分であることに起因しており、ユーザーが悪意のあるリンクをクリックするよう誘導することで悪用され、任意のスクリプトコードが実行される可能性があります。

この2件の脆弱性はいずれも公開されておらず、実際の攻撃での悪用も確認されていないとCiscoは述べています。詳細については同社のセキュリティアドバイザリページをご覧ください。