Cisco Unified Communications Manager のコードインジェクションの脆弱性（CVE-2026-20045）

何が起きた

Cisco Unified Communications Manager などの通話・連絡用の製品に、HTTP リクエストで送られた入力をきちんと確かめないため、命令を差し込まれてしまう弱点（コードインジェクション）が見つかりました。ログイン不要で、ネットワーク経由で離れた場所から悪用できます。攻撃者は細工した HTTP リクエストを Web の管理画面に続けて送ることで、土台の OS に一般利用者の権限で入り込み、さらに root まで権限を上げられるおそれがあります。実際に悪用が確認されており、Cisco も悪用しようとする試みを確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cisco Unified Communications Manager（Unified CM）、Unified CM SME、Unified CM IM&P、Cisco Unity Connection、Cisco Webex Calling Dedicated Instance を使っている組織が対象です。Cisco によると、機器の設定に関係なく影響します。リリース 12.5、14、15 で、修正版より前のものが影響を受けます。

何をすればいい

Cisco の勧告にある修正版に更新してください。リリース 14 は 14SU5、リリース 15 は 15SU4 が最初の修正版で、バージョンに合ったパッチファイルを当てる方法もあります（パッチに付いている README を確認します）。リリース 12.5 を使っている場合は、修正済みのリリースへの移行が必要です。回避策はないため、公式の案内（Cisco の勧告）を確認し、早めに対応してください。

やることチェックリスト

• リリース14は14SU5以降に更新する
• リリース15は15SU4以降に更新する
• リリース12.5は修正済みのリリースへ移行する

用語メモ

コードインジェクション

外から送ったデータを、プログラムの命令として実行させてしまう攻撃や弱点のことです。

root

Linux などの OS で、何でもできる最も強い管理者の権限、またはそのアカウントのことです。

HTTP リクエスト

ブラウザーなどが Web サーバーに送る「このページがほしい」「このデータを受け取って」というお願いのことです。