OWN NEWS GATHER
← 戻る
cve

Cisco Unified Communications Managerに重大な脆弱性、CISAが「悪用済みリスト」へ追加し早期対応を要求

要点

  • Cisco Unified Communications Manager（Unified CM）およびSession Management Edition（Unified CM SME）において、サーバーサイド・リクエスト・フォージェリ（SSRF）の脆弱性が確認された。

  • 認証されていないリモートの攻撃者が細工されたHTTPリクエストを送信することで脆弱性を悪用でき、最悪の場合、OSの最高管理者権限である「root」へと権限昇格される恐れがある。

  • シスコシステムズは、脆弱性の悪用が最高管理者権限の奪取に直結することから、独自のセキュリティ影響評価（SIR）を「High」から「Critical（緊急）」へと引き上げている。

  • 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は本脆弱性を「既知の悪用された脆弱性カタログ（KEV）」に追加し、2026年6月28日を期限とした速やかな対策を求めた。

  • 本脆弱性を悪用するには、デフォルトで無効に設定されている「WebDialer」サービスが有効化されている必要がある。

  • シスコシステムズ（Cisco Systems）のコミュニケーション管理製品「Cisco Unified Communications Manager（Unified CM）」および「Cisco Unified Communications Manager Session Management Edition（Unified CM SME）」において、深刻な脆弱性（CVE-2026-20230）が確認されている。米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年6月25日に本脆弱性を「既知の悪用された脆弱性カタログ（KEV：実際に悪用が確認された脆弱性のリスト）」に追加し、管理者に対して速やかな対応を促した。本脆弱性は最悪の場合、攻撃者にシステム全体の制御を可能にする最高管理者権限（root権限）を掌握される危険性があるとして、メーカー側も高い警戒を示している。

  • 今回明らかになった脆弱性は、CVE-2026-20230として追跡されている。これは、特定のHTTPリクエストに対する入力の検証（外部から送られてきたデータが安全であるかを確認する処理）が不十分であることに起因する、サーバーサイド・リクエスト・フォージェリ（SSRF：サーバーを悪用して外部や内部へ意図しない不正リクエストを送信させる攻撃手法）の脆弱性（CWE-918）である。

  • 認証されていないリモートの攻撃者は、影響を受けるデバイスへ細工されたHTTPリクエストを送信することでこの脆弱性を悪用できる可能性がある。悪用に成功すると、攻撃者は製品の基盤となっているオペレーティングシステム（OS）に対して任意のファイルを書き込むことができる。このファイル書き込み機能は、その後にシステム内の権限を最高管理者権限（root権限：OS全体に対する絶対的な操作権限）へと引き上げるための足がかりとして利用される危険があるという。

  • 本脆弱性の共通脆弱性評価システム（CVSS：脆弱性の深刻度を数値化して評価する基準）バージョン3.1に基づく基本値（Base Score）は「8.6 HIGH」と評価されている。しかし、開発元であるシスコシステムズは、独自のセキュリティ影響評価（SIR：製品への影響度を示すシスコ独自のレーティング）を一般的なCVSSの評価レベル「High（高）」から一段階高い「Critical（緊急）」へと引き上げた。その理由は、脆弱性の悪用が最終的に攻撃者のroot権限昇格へと直結し、システムの完全な支配を許してしまう可能性があるためと説明している。

  • 一方で、本脆弱性を悪用するためには、対象デバイス上で「WebDialer」（ウェブブラウザから直接電話発信を行う機能）サービスが有効になっている必要がある。このWebDialerサービスは初期設定（デフォルト）では無効化されているため、同機能を利用していない環境においては直接的な脅威にはならないとみられる。

  • 脆弱性の影響を受ける製品バージョンは以下の通りである。Cisco Unified Communications Managerおよび同Session Management Editionの両製品が対象となる。

  • バージョン14.0（含む）から14su6未満（除く）まで

  • バージョン15.0（含む）から15su4a以下（含む）まで

  • 利用中の環境がこれらのバージョンに該当する場合、早急に対策を確認する必要がある。

  • さらに、CISAは本脆弱性を「既知の悪用された脆弱性カタログ（KEV）」へ追加した。これはすでに本脆弱性を狙った攻撃が確認されていることを意味する。CISAは該当するシステムの管理者に対して、2026年6月28日を期日とする対応を求めた。具体的には、ベンダーの指示に従って緩和策を適用することに加え、サイバーセキュリティに関するバインディング指令「BOD 26-04（リスクに基づいたセキュリティアップデートの優先順位付け）」や、CISAの「フォレンジックトリアージ（被害状況調査のための初期分析）要件」に確実に準拠することを要求している。

  • また、クラウドサービスを利用している組織においても、BOD 26-04のガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止する必要がある。自組織の資産がインターネットに露出しているかを評価し、ガイドラインに従って適切に修正プログラムを適用することは関係者の責任であると重ねて呼びかけられている。

元URL