- Новое
- Добавить закладку
- #1
Cisco устранила критическую уязвимость удаленного выполнения кода (RCE) в Unified Communications и Webex Calling, получившую идентификатор CVE-2026-20045, которая активно эксплуатировалась как уязвимость нулевого дня в атаках.
Уязвимость, зарегистрированная как CVE-2026-20045, затрагивает Cisco Unified Communications Manager (Unified CM), Unified CM Session Management Edition (SME), Unified CM IM & Presence, Cisco Unity Connection и Webex Calling Dedicated Instance.
"Эта уязвимость возникает из-за неправильной проверки ввода, предоставленного пользователем, в HTTP-запросах. Злоумышленник может использовать эту уязвимость, отправив серию специально подготовленных HTTP-запросов в интерфейс веб-управления затронутого устройства," — предупреждает Cisco в своем уведомлении.
"Успешная эксплуатация уязвимости может позволить злоумышленнику получить доступ на уровне пользователя к операционной системе и затем повысить привилегии до уровня root."
Хотя уязвимость имеет рейтинг CVSS 8.2, Cisco присвоила ей критическую степень опасности, так как эксплуатация приводит к получению root-доступа на серверах.
Компания выпустила следующие обновления программного обеспечения и патчи для устранения уязвимости:
Cisco Unified CM, Unified CM IM&P, Unified CM SME и Webex Calling Dedicated Instance:
Cisco Unity Connection:
Команда по реагированию на инциденты в области безопасности продуктов Cisco (PSIRT) подтвердила, что были зафиксированы попытки эксплуатации уязвимости в реальных условиях.
- Источник: https://www.bleepingcomputer[.]com/news/security/cisco-fixes-unified-communications-rce-zero-day-exploited-in-attacks/
Уязвимость, зарегистрированная как CVE-2026-20045, затрагивает Cisco Unified Communications Manager (Unified CM), Unified CM Session Management Edition (SME), Unified CM IM & Presence, Cisco Unity Connection и Webex Calling Dedicated Instance.
"Эта уязвимость возникает из-за неправильной проверки ввода, предоставленного пользователем, в HTTP-запросах. Злоумышленник может использовать эту уязвимость, отправив серию специально подготовленных HTTP-запросов в интерфейс веб-управления затронутого устройства," — предупреждает Cisco в своем уведомлении.
"Успешная эксплуатация уязвимости может позволить злоумышленнику получить доступ на уровне пользователя к операционной системе и затем повысить привилегии до уровня root."
Хотя уязвимость имеет рейтинг CVSS 8.2, Cisco присвоила ей критическую степень опасности, так как эксплуатация приводит к получению root-доступа на серверах.
Компания выпустила следующие обновления программного обеспечения и патчи для устранения уязвимости:
Cisco Unified CM, Unified CM IM&P, Unified CM SME и Webex Calling Dedicated Instance:
| Версия | Первая исправленная версия |
|---|---|
| 12.5 | Мигрировать на исправленную версию. |
| 14 | 14SU5 или применить патч: |
| ciscocm.V14SU4a_CSCwr21851_remote_code_v1.cop.sha512 | |
| 15 | 15SU4 (март 2026) или применить патч: |
| ciscocm.V15SU2_CSCwr21851_remote_code_v1.cop.sha512 | |
| ciscocm.V15SU3_CSCwr21851_remote_code_v1.cop.sha512 |
| Версия | Первая исправленная версия |
|---|---|
| 12.5 | Мигрировать на исправленную версию. |
| 14 | 14SU5 или применить патч: |
| ciscocm.cuc.CSCwr29208_C0266-1.cop.sha512 | |
| 15 | 15SU4 (март 2026) или применить патч: |
| ciscocm.cuc.CSCwr29208_C0266-1.cop.sha512 |
Команда по реагированию на инциденты в области безопасности продуктов Cisco (PSIRT) подтвердила, что были зафиксированы попытки эксплуатации уязвимости в реальных условиях.
- Источник: https://www.bleepingcomputer[.]com/news/security/cisco-fixes-unified-communications-rce-zero-day-exploited-in-attacks/
, быстро они заклепки выпускают, недели не прошло.