Descripción
Cisco Unified Communications Manager (Unified CM), Cisco Unified Communications Manager Session Management Edition (Unified CM SME), Cisco Unified Communications Manager IM & Presence Service (Unified CM IM&P), Cisco Unity Connection y Cisco Webex Calling Dedicated Instance contienen una vulnerabilidad de inyección de código que podría permitir al atacante obtener acceso a nivel de usuario al sistema operativo subyacente y luego escalar privilegios a root.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de sec.cloudapps.cisco.com sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2026-20045
Ver el texto original en inglés (CISA)
Cisco Unified Communications Products Code Injection Vulnerability
Cisco Unified Communications Manager (Unified CM), Cisco Unified Communications Manager Session Management Edition (Unified CM SME), Cisco Unified Communications Manager IM & Presence Service (Unified CM IM&P), Cisco Unity Connection, and Cisco Webex Calling Dedicated Instance contain a code injection vulnerability that could allow the attacker to obtain user-level access to the underlying operating system and then elevate privileges to root.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-voice-rce-mORhqY4b ; https://nvd.nist.gov/vuln/detail/CVE-2026-20045
Otras vulnerabilidades de Cisco en el catálogo
- CVE-2026-76519 Vulnerabilidad de recorrido de directorios relativo (path traversal) en Cisco Secure Email Gateway Alta 14-10-2026
- CVE-2026-76504 Vulnerabilidad de codificación hexadecimal en Cisco Catalyst SD-WAN Manager Alta 30-09-2026
- CVE-2026-76460 Vulnerabilidad de uso incorrecto de API privilegiadas en Cisco Identity Services Engine Alta 16-09-2026
- CVE-2026-76461 Vulnerabilidad de inyección SQL en Cisco Secure Email Gateway Alta 14-09-2026
- CVE-2026-20079 Vulnerabilidad de omisión de autenticación mediante una ruta o canal alternativo en Cisco Firewall Management Center Alta 09-09-2026