Cisco telah memperbaiki kerentanan kritis eksekusi kode jarak jauh Unified Communications dan Webex Calling, yang dilacak sebagai CVE-2026-20045, yang telah secara aktif dieksploitasi sebagai serangan zero-day.
Dilacak sebagai CVE-2026-20045, kelemahan ini berdampak pada Cisco Unified Communications Manager (Unified CM), Unified CM Session Management Edition (SME), Unified CM IM & Presence, Cisco Unity Connection, dan Webex Calling Dedicated Instance.
“Kerentanan ini disebabkan oleh validasi yang tidak tepat atas masukan yang diberikan pengguna dalam permintaan HTTP. Seorang penyerang dapat mengeksploitasi kerentanan ini dengan mengirimkan serangkaian permintaan HTTP yang dibuat ke antarmuka manajemen berbasis web pada perangkat yang terpengaruh,” memperingatkan. nasihat Cisco.
“Eksploitasi yang berhasil dapat memungkinkan penyerang memperoleh akses tingkat pengguna ke sistem operasi yang mendasarinya dan kemudian meningkatkan hak istimewa untuk akar.”
Meskipun kerentanan memiliki skor CVSS 8,2, Cisco memberinya peringkat tingkat keparahan Kritis, karena eksploitasi mengarah pada akses root pada server.
Cisco telah merilis pembaruan perangkat lunak dan file patch berikut untuk mengatasi kerentanan:
Cisco Unified CM, Unified CM IM&P, Unified CM SME, dan Rilis Instans Khusus Panggilan Webex:
| Versi | Rilis Tetap Pertama |
|---|---|
| 12.5 | Bermigrasi ke rilis tetap. |
| 14 | 14SU5 atau terapkan file patch: ciscocm.V14SU4a_CSCwr21851_remote_code_v1.cop.sha512 |
| 15 | 15SU4 (Mar 2026) atau terapkan file patch: ciscocm.V15SU2_CSCwr21851_remote_code_v1.cop.sha512 ciscocm.V15SU3_CSCwr21851_remote_code_v1.cop.sha512 |
Rilis Koneksi Cisco Unity:
| Versi | Rilis Tetap Pertama |
|---|---|
| 12.5 | Bermigrasi ke rilis tetap. |
| 14 | 14SU5 atau terapkan file patch: ciscocm.cuc.CSCwr29208_C0266-1.cop.sha512 |
| 15 | 15SU4 (Mar 2026) atau terapkan file patch: ciscocm.cuc.CSCwr29208_C0266-1.cop.sha512 |
Perusahaan mengatakan tambalan tersebut spesifik untuk versi tertentu, jadi README harus ditinjau sebelum menerapkan tambalan.
Tim Respons Insiden Keamanan Produk (PSIRT) Cisco telah mengkonfirmasi bahwa upaya untuk mengeksploitasi kelemahan tersebut telah diamati, dan mendesak pelanggan untuk meningkatkan ke perangkat lunak terbaru sesegera mungkin.
Perusahaan juga mengatakan tidak ada solusi yang dapat mengurangi kelemahan tersebut tanpa menginstal pembaruan.
Badan Keamanan Siber dan Infrastruktur AS (CISA) telah menambahkan CVE-2026-20045 ke Katalog Kerentanan yang Diketahui (KEV) dan memberikan waktu kepada lembaga federal hingga 11 Februari 2026 untuk menerapkan pembaruan.
Awal bulan ini, Cisco menambal kerentanan Identity Services Engine (ISE). dengan kode eksploitasi bukti konsep publik dan a AsyncOS zero-day dieksploitasi sejak November.
Lembar Cheat Keamanan Rahasia: Dari Sprawl hingga Control
Baik Anda membersihkan kunci lama atau menyetel pagar pembatas untuk kode yang dihasilkan AI, panduan ini membantu tim Anda membangun dengan aman sejak awal.
Dapatkan lembar contekan dan hilangkan dugaan tentang manajemen rahasia.
