情報取得日: 2026/01/21／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-20045 |
|---|---|
| 製品 | Cisco / Unified Communications Manager / IM and Presence / Unity Connection |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-94 コード生成の制御不備（コードインジェクション） |
| 登録／公開日 | 2026/01/21 |
| KEV 期限 | 2026/02/11 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-20045 |
Cisco Unified Communications Manager（Unified CM）、その Session Management Edition、IM and Presence Service、Unity Connection、および Webex Calling Dedicated Instance に、HTTP リクエスト中の入力検証の不備がある。未認証のリモート攻撃者が Web 管理インターフェースへ細工した HTTP リクエストを連続して送ると、下位 OS 上でコマンドを実行してユーザーレベルのアクセスを得たうえ、root まで昇格できる。Cisco はこのアドバイザリの Security Impact Rating を、スコアが示す High ではなく Critical としており、その理由として root への昇格が可能な点を挙げている。影響範囲は NVD の CPE で、Unified CM と Session Management Edition が 12.5 以上 14SU5 未満および 15.0 以上 15SU3a 以下、IM and Presence Service が 12.5 以上 14SU5 未満および 15.0 以上 15SU3a 以下、Unity Connection が 12.5 以上 14SU5 未満および 15.0 以上 15SU3 以下とされる。CVSS は評価元で分かれており、NVD（Primary）が CVSS 3.1 で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、Cisco（CNA）が 8.2 High（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N）としている。差は完全性と可用性への影響の見積もりだが、Cisco 自身が SIR を Critical に引き上げているため、実務上は Critical として扱うのが妥当である。CISA KEV には 2026-01-21 に収載され、是正期限は 2026-02-11。ランサムウェア利用は Unknown。NVD の vulnStatus は Analyzed。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | ベンダーFW更新 |
クラウド上に Unified CM / IM and Presence / Unity Connection の仮想ノードを置いている場合は、アドバイザリ cisco-sa-voice-rce-mORhqY4b に従い 14SU5 以降または 15 系の修正 SU へ更新する
AWS 側の個別告知は参照情報に無い。これらはベンダー提供の仮想アプライアンスとして更新するもので、EC2 上の OS パッケージ更新では直らない。多くの環境ではオンプレの仮想基盤上に置かれているため、まずそちらを棚卸しする。
参照リンク
|
| GCP | ベンダーFW更新 |
GCP 上に該当ノードがある場合は修正版へ更新する
GCP 側の告知は無い。更新までの緩和は、Web 管理インターフェースへの到達をファイアウォールで管理セグメントに限定すること。未認証で成立するため公開の停止が最優先。
参照リンク
|
| Azure | ベンダーFW更新 |
Azure 上に該当ノードがある場合は修正版へ更新する
Azure 側の告知は無い。Webex Calling Dedicated Instance も Cisco の説明で対象に挙がっているため、専用インスタンス側の対応状況はベンダーと確認する。
参照リンク
|
| Linux | ベンダーFW更新 |
Unified CM などは Cisco Unified OS を含むアプライアンスとして提供されるため、ベンダーの手順で SU を適用する。ディストリのパッケージ更新では解消しない
基盤が Linux であっても利用者がパッケージを個別に更新する運用ではない。対応は SU の適用と、管理インターフェースの到達制限。
参照リンク
|
判定は各サーバの版で行う。Cisco Unified OS の管理画面または CLI の show version active で版を取り、14 系なら 14SU5 以降、15 系なら 15SU3a より後の版（Unity Connection は 15SU3 より後）になっているかを、アドバイザリ cisco-sa-voice-rce-mORhqY4b の Fixed Software 節と突き合わせる。SU（Service Update）の番号まで見ることが重要で、メジャー版が 15 だから対応済みという判断では足りない。次に対象の広さを意識する。Unified CM のパブリッシャとサブスクライバ、Session Management Edition、IM and Presence の各ノード、Unity Connection のクラスタと、音声基盤の中で複数の役割が同じ脆弱性を抱えているため、クラスタ内の全ノードを数え上げる。見落としやすいのは、電話機の登録を担うサブスクライバ、統合前に残った旧クラスタ、災対サイトのノード、そして検証用に立てたままの Unity Connection である。すぐ更新できない場合の緩和は、Web 管理インターフェースへの到達を絞ることである。未認証で成立する欠陥なので、管理画面の外部公開は直ちに止め、管理セグメントか踏み台経由からのみ届く構成にする。電話機や Jabber クライアントが使う通信経路とは分けて考え、管理用の HTTPS を一般利用者のネットワークからも遮断できるなら攻撃面はさらに下がる。本件は KEV 収載済みで実際に悪用されているため、更新だけで終わらせない。root まで昇格され得る欠陥なので、更新後は不明なアカウントやスケジュール実行、設定の差分、CDR や通話ログの改変、外向き通信の痕跡を確認し、管理者とアプリケーションユーザーの資格情報、AXL などの API 用アカウント、LDAP 連携のバインド資格情報、証明書と鍵を再発行する。音声基盤は他システムとの連携が多いため、連携先に配っている資格情報の棚卸しも行う。完了条件は、クラスタ内の全ノードが修正版以上であること、管理インターフェースの露出を閉じたこと、痕跡調査と資格情報の再発行が済んでいることの3点。是正期限 2026-02-11 は経過しているため、未更新ノードが残っていれば期限超過として扱う。
Critical（CVSS 9.8）に分類されるCisco Unified Communications Manager / IM and Presence / Unity Connectionの脆弱性です。Cisco Unified Communications Manager（Unified CM）、その Session Management Edition、IM and Presence Service、Unity Connection、および Webex Calling Dedicated Instance に、HTTP リクエスト中の入力検証の不備がある。未認証のリモート攻撃者が Web 管理インターフェースへ細工した HTTP リクエストを連続して送ると、下位 OS 上でコマンドを実行してユーザーレベルのアクセスを得たうえ、root まで昇格できる。Cisco はこのアドバイザリの Security Impact Rating を、スコアが示す High ではなく Critical としており、その理由として root への昇格が可能な点を挙げている。影響範囲は NVD の CPE で、Unified CM と Session Management Edition が 12.5 以上 14SU5 未満および 15.0 以上 15SU3a 以下、IM and Presence Service が 12.5 以上 14SU5 未満および 15.0 以上 15SU3a 以下、Unity Connection が 12.5 以上 14SU5 未満および 15.0 以上 15SU3 以下とされる。CVSS は評価元で分かれており、NVD（Primary）が CVSS 3.1 で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、Cisco（CNA）が 8.2 High（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N）としている。差は完全性と可用性への影響の見積もりだが、Cisco 自身が SIR を Critical に引き上げているため、実務上は Critical として扱うのが妥当である。CISA KEV には 2026-01-21 に収載され、是正期限は 2026-02-11。ランサムウェア利用は Unknown。NVD の vulnStatus は Analyzed。
判定は各サーバの版で行う。Cisco Unified OS の管理画面または CLI の show version active で版を取り、14 系なら 14SU5 以降、15 系なら 15SU3a より後の版（Unity Connection は 15SU3 より後）になっているかを、アドバイザリ cisco-sa-voice-rce-mORhqY4b の Fixed Software 節と突き合わせる。SU（Service Update）の番号まで見ることが重要で、メジャー版が 15 だから対応済みという判断では足りない。次に対象の広さを意識する。Unified CM のパブリッシャとサブスクライバ、Session Management Edition、IM and Presence の各ノード、Unity Connection のクラスタと、音声基盤の中で複数の役割が同じ脆弱性を抱えているため、クラスタ内の全ノードを数え上げる。見落としやすいのは、電話機の登録を担うサブスクライバ、統合前に残った旧クラスタ、災対サイトのノード、そして検証用に立てたままの Unity Connection である。すぐ更新できない場合の緩和は、Web 管理インターフェースへの到達を絞ることである。未認証で成立する欠陥なので、管理画面の外部公開は直ちに止め、管理セグメントか踏み台経由からのみ届く構成にする。電話機や Jabber クライアントが使う通信経路とは分けて考え、管理用の HTTPS を一般利用者のネットワークからも遮断できるなら攻撃面はさらに下がる。本件は KEV 収載済みで実際に悪用されているため、更新だけで終わらせない。root まで昇格され得る欠陥なので、更新後は不明なアカウントやスケジュール実行、設定の差分、CDR や通話ログの改変、外向き通信の痕跡を確認し、管理者とアプリケーションユーザーの資格情報、AXL などの API 用アカウント、LDAP 連携のバインド資格情報、証明書と鍵を再発行する。音声基盤は他システムとの連携が多いため、連携先に配っている資格情報の棚卸しも行う。完了条件は、クラスタ内の全ノードが修正版以上であること、管理インターフェースの露出を閉じたこと、痕跡調査と資格情報の再発行が済んでいることの3点。是正期限 2026-02-11 は経過しているため、未更新ノードが残っていれば期限超過として扱う。
Cisco Unified Communications Manager / IM and Presence / Unity Connection を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-20045）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/02/11 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。