CVEノート

最近の脆弱性 › CVE-2026-20230

Cisco Unified Communications Manager のSSRFの脆弱性（CVE-2026-20230）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2026-20230
製品Cisco Unified Communications Manager
深刻度（CVSS）8.6 重要CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N
KEVへの追加日2026-06-25
米国政府機関の対応期限2026-06-28
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-918

何が起きた

Cisco の電話の仕組みを管理するソフト Unified Communications Manager（Unified CM と Unified CM SME）に、機器に外部への要求を送らせられる弱点（SSRF）が見つかり、実際に悪用が確認されています。特定の HTTP の要求の入力を正しく確かめていなかったため、ログインしていない攻撃者に、細工した要求を送られると、機器の OS にファイルを書き込まれるおそれがあります。このファイルは、あとで root（最も強い権限）を得るために使われるおそれがあります。悪用には、初期設定では無効の WebDialer のサービスが有効になっている必要があります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工したHTTPの要求を送る → 2. 機器のOSにファイルを書き込まれる → 3. rootの権限を取られる1攻撃者が細工したHTTPの要求を送る2機器のOSにファイルを書き込まれる3rootの権限を取られる攻撃の流れ: 1. 攻撃者が細工したHTTPの要求を送る → 2. 機器のOSにファイルを書き込まれる → 3. rootの権限を取られる1攻撃者が細工したHTTPの要求を送る2機器のOSにファイルを書き込まれる3rootの権限を取られる

誰が影響を受ける

Cisco Unified CM と Unified CM SME の 14 系（14SU6 より前）と 15 系で、WebDialer のサービスを有効にしている組織が影響を受けます。WebDialer は初期設定では無効です。

何をすればいい

14 系は 14SU6、15 系は 15SU5 か Cisco の COP のパッチへ更新してください。回避策はありません。攻撃の実証コードも公開されています。

やることチェックリスト

用語メモ

Unified CM
会社の電話（IP 電話）の通話や設定をまとめて管理する Cisco のソフトです。
SSRF
攻撃者がサーバーをだまして、ふつうは届かない内部のサービスなどへ要求を送らせる攻撃のことです。

元データ（英語・CISA KEV より）

Cisco Unified Communications Manager Server-Side Request Forgery (SSRF) Vulnerability

概要

Cisco Unified Communications Manager (Unified CM) and Cisco Unified Communications Manager Session Management Edition (Unified CM SME) contain a server-side request forgery (SSRF) Vulnerability that could allow an unauthenticated, remote attacker to write files to the underlying operating system that could be used later to elevate to root.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

公式情報