Cisco ha lanzado nuevos parches para abordar lo que considera una vulnerabilidad de seguridad «crítica» que afecta a varios productos de Comunicaciones Unificadas (CM) y a la Instancia Dedicada de Webex Calling. Esta vulnerabilidad se está explotando activamente como un ataque Zero-Day.
La vulnerabilidad, identificada como CVE-2026-20045 (CVSS: 8.2), podría permitir que un atacante remoto no autenticado ejecute comandos arbitrarios en el sistema operativo subyacente de un dispositivo afectado. En esencia, un usuario no autenticado puede elevar sus permisos a nivel root.
«Esta vulnerabilidad es el resultado de una validación inadecuada de los datos proporcionados por el usuario en las solicitudes HTTP», afirmó Cisco en un aviso. «Un atacante podría explotar esta brecha enviando una serie de solicitudes HTTP manipuladas a la interfaz de administración web de un dispositivo afectado. Si la explotación tiene éxito, podría acceder al sistema operativo subyacente y, posteriormente, elevar sus privilegios a root.»
Los productos afectados son:
- Unified CM
- Unified CM Session Management Edition (SME)
- Unified CM IM & Presence Service (IM&P)
- Unity Connection
- Webex Calling Dedicated Instance
Se ha corregido en las siguientes versiones:
- Release 12.5 – Migrar a una versión actualizada
- Release 14 – 14SU5 o aplicar el parche correspondiente
- Release 15 – 15SU4 o aplicar el parche adecuado
La empresa también ha indicado que está al tanto de intentos de explotación de esta vulnerabilidad, instando a los usuarios a actualizar a una versión corregida del software. No existen soluciones alternativas por el momento.
Este incidente ha llevado a CISA a incluir CVE-2026-20045 en su catálogo de Vulnerabilidades Explotadas Conocidas (KEV).
El descubrimiento de CVE-2026-20045 se produce menos de una semana después de que Cisco lanzara actualizaciones para otra vulnerabilidad de seguridad crítica que está siendo explotada activamente y que afecta al software AsyncOS para Cisco Secure Email Gateway y Cisco Secure Email and Web Manager (CVE-2025-20393, CVSS: 10.0), permitiendo a un atacante ejecutar comandos arbitrarios con privilegios de root.
Fuente:
THN
Con Información de blog.segu-info.com.ar