Cisco

シスコは、攻撃者がルート権限を取得できる重大な深刻度のUnified Communications Manager（Unified CM）の脆弱性を修正するセキュリティアップデートを公開しました。

Cisco Unified CM（旧称：Cisco CallManager）は、Cisco IPテレフォニーシステムの中央制御システムとして機能し、デバイス管理、通話ルーティング、およびテレフォニー機能を処理します。

この脆弱性（CVE-2026-20230として追跡）は、権限を持たない攻撃者が、複雑度の低いサーバーサイドリクエストフォージェリ（SSRF）攻撃を用いてリモートから悪用することが可能です。

image

「攻撃者は、影響を受けるデバイスに細工されたHTTPリクエストを送信することで、この脆弱性を悪用する可能性があります。悪用が成功した場合、攻撃者は基盤となるオペレーティングシステムにファイルを書き込むことができ、そのファイルを後に利用してroot権限への昇格が可能になる恐れがあります」とシスコは述べています。

「シスコは、このセキュリティアドバイザリに対し、スコアが示す『High』ではなく『Critical』のセキュリティ影響度評価（SIR）を割り当てました。その理由は、この脆弱性が悪用されると、攻撃者が権限をrootまで昇格させる可能性があるためです。」

シスコの製品セキュリティインシデント対応チーム（PSIRT）は、CVE-2026-20230に対する公開済みの概念実証（PoC）エクスプロイトコードの存在を把握しているが、現時点では実際の悪用や標的型攻撃の証拠は確認されていない。

幸いなことに、この脆弱性の影響を受けるのはWebDialerサービスが有効になっているシステムに限られ、WebDialerはデフォルトで無効になっています。

WebDialerが有効になっているかどうかを確認するには、Cisco Unified CM Administrationにログインし、「Cisco Unified Serviceability」に移動して「Go」をクリックし、「Tools > CTI Services」メニュー内の「Control Center – Feature Services」でサービスステータスを確認してください。

この脆弱性を軽減するための回避策は存在しませんが、Cisco Unified CM バージョン 14SU6 または 15SU5 （2026年9月版またはCOP）へのアップグレードを強く推奨しますが、管理者は、CVE-2026-20230による攻撃をブロックするためのパッチが適用されるまで、WebDialerサービスを無効にすることもできます。

WebDialerを無効にするには、以下の手順を実行してください：

  1. Cisco Unified CM 管理インターフェースにログインします。
  2. 「ナビゲーション」メニューから「Cisco Unified Serviceability」を選択し、「Go」をクリックします。
  3. 「ツール」メニューから「サービスアクティベーション」を選択します。
  4. ページの「CTI Services」セクションで、「Cisco WebDialer Web Service」チェックボックスのチェックを外し、「Save」をクリックします。

1 月、Cisco は、リモートコード実行攻撃においてゼロデイとして積極的に悪用されていた、もう 1 つの重大な Unified CM の脆弱性(CVE-2026-20045)を修正しました。

過去数年間、同社はまた、リモートの攻撃者がパッチ未適用のデバイスにルート権限でログインすることを可能にしていたUnified CM のバックドアアカウントを削除し、脅威アクターが脆弱なシステムへのルートアクセスを取得することを可能にしていた別の欠陥（CVE-2024-20253）に対処しました。

過去5年間で、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、91件のシスコの脆弱性を「実環境で積極的に悪用されている」と指定しており、そのうち6件は様々なランサムウェア攻撃で利用されています。