Cisco corregge vulnerabilità RCE zero-day nei prodotti Unified Communications

Cisco ha rilasciato patch critiche per CVE-2026-20045, una vulnerabilità di esecuzione remota di codice sfruttata attivamente negli attacchi ai sistemi di comu…

Contenuto

Cisco corregge vulnerabilità RCE zero-day nei prodotti Unified Communications

Scopri anche

Cisco corregge vulnerabilità RCE zero-day nei prodotti Unified Communications

Cisco corregge vulnerabilità RCE zero-day nei prodotti Unified Communications

In questo articolo:

Una minaccia critica per le infrastrutture di comunicazione

⬆ Torna su Cisco ha risolto una vulnerabilità critica di esecuzione remota di codice che interessa i prodotti Unified Communications e Webex Calling. Tracciata come CVE-2026-20045, la falla è stata sfruttata attivamente come zero-day in attacchi reali. L'exploitation di questa vulnerabilità potrebbe consentire a un aggressore non autenticato di ottenere l'accesso a livello utente al sistema operativo sottostante e successivamente elevare i privilegi fino ad acquisire i permessi root. Cisco ha assegnato a questa vulnerabilità un punteggio CVSS di 8.2, ma l'ha classificata come critica proprio per le conseguenze dell'exploitation.

Prodotti interessati dalla vulnerabilità

⬆ Torna su La vulnerabilità impatta diverse soluzioni Cisco tra cui Cisco Unified Communications Manager (Unified CM), Unified CM Session Management Edition (SME), Unified CM IM & Presence, Cisco Unity Connection e Webex Calling Dedicated Instance. Secondo gli advisory di sicurezza, tutti questi prodotti risultano vulnerabili indipendentemente dalla loro configurazione. Cisco Unified Communications rappresenta una suite di prodotti per le imprese che unifica le comunicazioni voce, video e dati su reti IP-based. Unified Communications Manager viene utilizzato per il controllo delle chiamate e la gestione delle sessioni, mentre Unity Connection è una soluzione di messaggistica unificata.

Meccanismo di sfruttamento tecnico

⬆ Torna su La vulnerabilità deriva da una validazione impropria dell'input fornito dall'utente nelle richieste HTTP. Un utente malintenzionato potrebbe sfruttare questa vulnerabilità inviando una sequenza di richieste HTTP appositamente create all'interfaccia di gestione web-based di un dispositivo interessato. Un exploit riuscito potrebbe permettere all'aggressore di eseguire comandi arbitrari sul sistema operativo sottostante con i privilegi dell'utente dei servizi web. Con l'accesso al sistema operativo sottostante, l'aggressore potrebbe anche stabilire l'accesso root sul dispositivo interessato.

Stato dell'exploitation e risposta immediata

⬆ Torna su Il Product Security Incident Response Team (PSIRT) di Cisco ha confermato che sono state osservate tentativi di sfruttamento della falla in ambienti reali. La società esorta i clienti ad aggiornare il software alla versione più recente il prima possibile. Cisco ha inoltre dichiarato che non esistono workaround in grado di mitigare la vulnerabilità senza installare gli aggiornamenti. L'agenzia statunitense Cybersecurity and Infrastructure Security Agency (CISA) ha aggiunto CVE-2026-20045 al suo Known Exploited Vulnerabilities (KEV) Catalog, dando alle agenzie federali tempo fino all'11 febbraio 2026 per implementare gli aggiornamenti.

Aggiornamenti software e raccomandazioni

⬆ Torna su Cisco ha rilasciato aggiornamenti software specifici e file di patch per affrontare la vulnerabilità. Le patch sono version-specific, quindi è necessario consultare il file README prima di applicarle. Per i clienti che devono ritardare l'applicazione delle patch, Cisco consiglia di posizionare i dispositivi vulnerabili tra firewall o switch che applicano liste di controllo di accesso e consentono l'accesso solo alle porte necessarie per i servizi distribuiti. Sono disponibili best practice di sicurezza e guide di hardening sia per Cisco Unified Communications Manager che per Cisco Unified ICM/Contact Center Enterprise.

Vulnerabilità aggiuntive risolte

⬆ Torna su Oltre alla vulnerabilità critica principale, Cisco Unity Connection ha ricevuto patch per una vulnerabilità di cross-site scripting (XSS) nella sua interfaccia di gestione web-based. Questa falla, tracciata come CVE-2024-20305, ha un punteggio CVSS di 4.8 e può essere sfruttata ingannando un utente autenticato affinché clicchi su un link appositamente creato. È stata inoltre corretta una vulnerabilità nei Cisco Business 250 Series Smart Switches e Business 350 Series Managed Switches che potrebbe consentire ad aggressori remoti non autenticati di bypassare le liste di controllo di accesso in una configurazione di switch impilati.

Raccomandazioni per l'upgrade

⬆ Torna su Cisco raccomanda vivamente di aggiornare a una versione software fissa per correggere completamente questa vulnerabilità. I clienti dovrebbero assicurarsi che i dispositivi da aggiornare contengano memoria sufficiente e confermare che le configurazioni hardware e software attuali continueranno a essere supportate correttamente dalla nuova release. Per i clienti che acquistano direttamente da Cisco ma non dispongono di un contratto di servizio, o per quelli che effettuano acquisti tramite fornitori di terze parti, gli upgrade possono essere ottenuti contattando il Cisco Technical Assistance Center (TAC).

Questo articolo è stato redatto esclusivamente sulla base delle fonti elencate, senza aggiunte speculative o informazioni esterne.

Fonti

⬆ Torna su

In breve

  • vulnerability
  • communications
  • rce
  • patches

Link utili

Apri l'articolo su DeafNews