Cisco Unified Communications ManagerおよびUnified CM SMEにおいて、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性が確認された。認証されていない遠隔の攻撃者が、基盤となるオペレーティングシステムに対して任意のファイルを書き込むことが可能であり、最終的にroot権限への昇格に悪用される恐れがある。本件はCISAのKEVカタログに登録されており、悪用が確認されている。CISAは2026年06月28日までの対応を推奨している。
CISAのKEVカタログに登録され、実際に悪用が確認されている脆弱性が相次いでいます。本件も同様に悪用のリスクが極めて高いため、対象環境を利用中の組織は早急な対応が必要です。
なぜご自身の組織で確認すべきかCISAの既知悪用脆弱性リスト（KEV）に掲載された、Cisco Unified Communications ManagerにおけるSSRFおよび権限昇格の脆弱性（CVE-2026-20230）であるため。
攻撃手法（確認済み）
攻撃成功時、OSへの不正なファイル書き込みが行われ、システム権限の昇格や不正な操作を許す可能性がある。
自組織チェックポイント
ベンダーの指示に従い、速やかに緩和策を適用すること。また、CISAのBOD 26-04ガイダンスに基づき、資産のインターネット公開状況を評価し、適切なパッチ適用を行うこと。緩和策が利用できない場合は、製品の使用停止を検討すること。
