Cisco ha publicado nuevos parches para abordar lo que describió como una vulnerabilidad de seguridad «crítica» que afecta a varios productos de Comunicaciones Unificadas (CM) y a la Instancia Dedicada de Webex Calling, y que está sido explotada activamente como un ataque Zero-Day.
La vulnerabilidad, CVE-2026-20045 (CVSS: 8,2), podría permitir que un atacante remoto no autenticado ejecute comandos arbitrarios en el sistema operativo subyacente de un dispositivo susceptible. Básicamente, un usuario sin autenticar, puede elevar sus permisos a root.
«Esta vulnerabilidad se debe a una validación incorrecta de la información proporcionada por el usuario en las solicitudes HTTP», declaró Cisco en un aviso. «Un atacante podría explotar esta vulnerabilidad enviando una secuencia de solicitudes HTTP manipuladas a la interfaz de administración web de un dispositivo afectado. Una explotación exitosa podría permitirle obtener acceso de usuario al sistema operativo subyacente y, posteriormente, elevar los privilegios a root».
La vulnerabilidad afecta a los siguientes productos:
- Unified CM
- Unified CM Session Management Edition (SME)
- Unified CM IM & Presence Service (IM&P)
- Unity Connection
- Webex Calling Dedicated Instance
Se ha solucionado en las siguientes versiones:
- Release 12.5 – Migrar a una versión corregida
- Release 14 – 14SU5 o aplicar el parche correspondiente
- Release 15 – 15SU4 o aplicar el parche correspondiente
El fabricante también declaró estar al tanto de intentos de explotación de esta vulnerabilidad, instando a los clientes a actualizar a una versión corregida del software para solucionar el problema. Actualmente no existen soluciones alternativas.
Este desarrollo ha llevado a CISA a añadir CVE-2026-20045 a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV).
El descubrimiento de CVE-2026-20045 se produce menos de una semana después de que Cisco publicara actualizaciones para otra vulnerabilidad de seguridad crítica explotada activamente que afecta al software AsyncOS para Cisco Secure Email Gateway y Cisco Secure Email and Web Manager (CVE-2025-20393, CVSS: 10.0), y que podría permitir a un atacante ejecutar comandos arbitrarios con privilegios de root.
Fuente y redacción: segu-info.com.ar
