Cisco Unified Communications Manager SSRF

情報取得日: 2026/06/25／最終確認: 2026/08/23・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-20230
製品	Cisco / Unified Communications Manager
CVSS	8.6（High） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N
種別 (CWE)	CWE-918 サーバサイドリクエストフォージェリ (SSRF)
登録／公開日	2026/06/25
KEV 期限	2026/06/28 まで（米国連邦機関向け目安）
推奨対応	ベンダー指示に従って緩和策を適用（BOD 26-04 準拠）
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-20230

概要

Cisco Unified Communications Manager（および CM SME）の HTTP リクエスト処理における SSRF の脆弱性。未認証のリモート攻撃者が基盤 OS へファイルを書き込め、最終的に root への昇格につながる恐れ。WebDialer サービスが有効な場合に悪用可能。実際の悪用が確認されている。修正版は 14 系が 14SU6、15 系は 15SU5（2026 年 9 月予定、暫定 COP パッチあり）。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure は同じ対応区分です: 対象外
Linux のみ異なります: ベンダーFW更新

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	対象外	該当なし（Cisco 独自アプライアンス／仮想アプライアンス） CUCM は Cisco 独自の仮想／物理アプライアンス。AWS のマネージド提供はなく、14SU6 以降へ更新。参照リンク
GCP	対象外	該当なし（Cisco 独自アプライアンス） GCP の対象外。14SU6 以降へ更新。参照リンク
Azure	対象外	該当なし（Cisco 独自アプライアンス） Azure の対象外。14SU6 以降へ更新。参照リンク
Linux	ベンダーFW更新	CUCM を 14SU6 以降へ更新（15 系は 15SU5／暫定 COP パッチ。回避策: WebDialer 無効化） CUCM は Cisco 独自の Linux ベースアプライアンス。汎用ディストリのパッケージ対象外。Cisco 公式の修正リリースを適用。参照リンク

解決の方向性（パッチ／回避策／代替）

Cisco セキュリティアドバイザリ（cisco-sa-cucm-ssrf）に従い 14SU6 以降へアップグレードするのが基本。15 系は 15SU5 待ちの間は暫定 COP パッチを適用。回避策として悪用条件である WebDialer サービス（Cisco WebDialer Web Service）を停止する。

よくある質問（CVE-2026-20230）

CVE-2026-20230（Unified Communications Manager）の影響は？

High（CVSS 8.6）に分類されるCisco Unified Communications Managerの脆弱性です。Cisco Unified Communications Manager（および CM SME）の HTTP リクエスト処理における SSRF の脆弱性。未認証のリモート攻撃者が基盤 OS へファイルを書き込め、最終的に root への昇格につながる恐れ。WebDialer サービスが有効な場合に悪用可能。実際の悪用が確認されている。修正版は 14 系が 14SU6、15 系は 15SU5（2026 年 9 月予定、暫定 COP パッチあり）。

CVE-2026-20230 の対応方法・回避策は？

自分の環境が CVE-2026-20230 の影響を受けるか確認するには？

Cisco Unified Communications Manager を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-20230）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-20230 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/06/28 です。推奨される対応: ベンダー指示に従って緩和策を適用（BOD 26-04 準拠）