Cisco изврши поправка на zero-day RCE ранливоста во Unified Communications што се користела во напади

Cisco закрпи критична ранливост за извршување на код од далечина (RCE) во Unified Communications и Webex Calling, следена како CVE-2026-20045, која активно се користела како zero-day во напади.

Ранливоста, означена како CVE-2026-20045, ги погодува Cisco Unified Communications Manager (Unified CM), Unified CM Session Management Edition (SME), Unified CM IM & Presence, Cisco Unity Connection и Webex Calling Dedicated Instance.

„Оваа ранливост е резултат на неправилна валидација на влезните податоци доставени од корисникот во HTTP барања. Напаѓач може да ја искористи оваа ранливост со испраќање низа специјално креирани HTTP барања до веб-базираната менаџерска интерфејсa на засегнатиот уред,“ предупредува советодавното известување на Cisco. „Успешна експлоатација може да му овозможи на напаѓачот да добие пристап на корисничко ниво до основниот оперативен систем и потоа да ги ескалира привилегиите до root.“

Иако ранливоста има CVSS резултат од 8.2, Cisco ѝ додели критична оценка на сериозност, бидејќи експлоатацијата доведува до root пристап на серверите.

Cisco ги објави следните софтверски ажурирања и patch-датотеки за да ја адресира ранливоста:

Cisco Unified CM, Unified CM IM&P, Unified CM SME и Webex Calling Dedicated Instance – изданија:

Верзија — Прво издание со поправка

12.5
Мигрирајте на издание со вклучена поправка.

14
14SU5 или применете ја patch-датотеката:
ciscocm.V14SU4a_CSCwr21851_remote_code_v1.cop.sha512

15
15SU4 (март 2026) или применете ја patch-датотеката:
ciscocm.V15SU2_CSCwr21851_remote_code_v1.cop.sha512
ciscocm.V15SU3_CSCwr21851_remote_code_v1.cop.sha512

Cisco Unity Connection – изданија:

Верзија — Прво издание со поправка

12.5
Мигрирајте на издание со вклучена поправка.

14
14SU5 или применете ја patch-датотеката:
ciscocm.cuc.CSCwr29208_C0266-1.cop.sha512

15
15SU4 (март 2026) или применете ја patch-датотеката:
ciscocm.cuc.CSCwr29208_C0266-1.cop.sha512

Компанијата соопшти дека закрпите се специфични за верзијата, па затоа README-документот треба да се прегледа пред да се применат ажурирањата.

Тимот за одговор на безбедносни инциденти на производи на Cisco (PSIRT) потврди дека се забележани обиди за искористување на ранливоста во реални напади, и ги повика корисниците што е можно побрзо да надградат на најновата верзија на софтверот.

Компанијата исто така соопшти дека не постојат привремени решенија (workarounds) кои можат да ја ублажат ранливоста без инсталирање на ажурирањата.

Американската Агенција за сајбер-безбедност и безбедност на инфраструктурата (CISA) ја додаде CVE-2026-20045 во својот Каталог на познати експлоатирани ранливости (KEV) и им даде рок на федералните агенции до 11 февруари 2026 година да ги имплементираат ажурирањата.

Претходно овој месец, Cisco закрпи и ранливост во Identity Services Engine (ISE) за која постоеше јавно достапен proof-of-concept експлоит код, како и AsyncOS zero-day ранливост што била искористувана уште од ноември.

Извори:

• Bleeping Computer – Cisco fixes Unified Communications RCE zero day exploited in attacks Bleeping Computer