CVE-2026-20230
Une vulnérabilité dans Cisco Unified Communications Manager (Unified CM) et Cisco Unified Communications Manager Session Management Edition (Unified CM SME) pourrait permettre à un attaquant distant non authentifié de mener des attaques par server-side request forgery (SSRF) par le biais d'un appareil affecté. Cette vulnérabilité est due à une validation incorrecte des entrées pour des requêtes HTTP spécifiques. Un attaquant pourrait exploiter cette vulnérabilité en envoyant une requête HTTP spécialement conçue à un appareil affecté. Une exploitation réussie pourrait permettre à l'attaquant d'écrire des fichiers sur le système d'exploitation sous-jacent qui pourraient être utilisés ultérieurement pour élever les privilèges à root. Remarque : Cisco a attribué à cet avis de sécurité un Security Impact Rating (SIR) de Critical plutôt que High comme l'indique le score. La raison est que l'exploitation de cette vulnérabilité pourrait permettre à un attaquant d'élever ses privilèges à root. Remarque : Pour exploiter cette vulnérabilité, le service WebDialer doit être activé. WebDialer est désactivé par défaut.
Activement exploitée
- Dans le catalogue CISA des vulnérabilités exploitées depuis le 25 juin 2026
- Les agences fédérales américaines doivent la corriger avant le 28 juin 2026 (BOD 22-01)
- Première attaque observée 18 jours après la divulgation
- Confirmée par des capteurs, pas seulement par des signalements
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Source : CISA KEV · 10 juil. 2026 10 juil. 2026 1 juil. 2026 25 juin 2026 24 juin 2026 22 juin 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:NProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| cisco | unified communications manager | < 14su6 |
Articles liés
VulnérabilitésLe contournement de l’authentification de Cisco Secure FMC exploité pour obtenir un accès root
CVE-2026-20079, faille critique Cisco Secure FMC (CVSS 10), est exploitée pour obtenir un accès root sans authentification. Mettez à jour sans délai.
VulnérabilitésDes failles sans authentification de Cisco FMC exploitées par le ransomware Qilin et des hackers liés à Sandworm
Qilin et des hackers liés à Sandworm exploitent des failles sans authentification de Cisco FMC pour voler des identifiants et déployer des ransomwares.
APTDes opérateurs liés à Sandworm enchaînent des failles de Cisco FMC pour déployer une nouvelle version de Cyclops Blink
Liés à Sandworm, des hackers exploitent deux failles Cisco FMC pour déployer la nouvelle variante Linux de Cyclops Blink.
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.