CVE-2026-20045 — Vulnérabilité d'exécution de code à distance dans les produits Cisco Unified Communications

Résumé

Une vulnérabilité dans Cisco Unified Communications Manager (Unified CM), Cisco Unified Communications Manager Session Management Edition (Unified CM SME), Cisco Unified Communications Manager IM & Presence Service (Unified CM IM&P), Cisco Unity Connection et Cisco Webex Calling Dedicated Instance pourrait permettre à un attaquant non authentifié et distant d'exécuter des commandes arbitraires sur le système d'exploitation sous-jacent d'un appareil concerné. Cette vulnérabilité est due à une validation incorrecte des entrées fournies par l'utilisateur dans les requêtes HTTP. Un attaquant pourrait exploiter cette vulnérabilité en envoyant une séquence de requêtes HTTP spécialement conçues à l'interface de gestion basée sur le web d'un appareil concerné. Une exploitation réussie pourrait permettre à l'attaquant d'obtenir un accès au niveau utilisateur au système d'exploitation sous-jacent, puis d'élever ses privilèges jusqu'à root. Remarque : Cisco a attribué à cet avis de sécurité une note d'impact de sécurité (SIR) de Critique plutôt que d'Élevée, comme l'indique le score. La raison en est que l'exploitation de cette vulnérabilité pourrait permettre à un attaquant d'élever ses privilèges jusqu'à root.

Faiblesse : CWE-94

Le titre, la description et les consignes de l’éditeur sont traduits automatiquement par intelligence artificielle (Mistral AI) depuis la fiche CVE en anglais ; un texte dont la traduction n’a pas passé les contrôles de Patcharo reste en anglais. L’avis d’un éditeur est résumé, avec un lien. Identifiants, versions et liens sont repris à l’identique.

Versions affectées et corrigées

Par produit et par branche, telles que les déclarent l’enregistrement CVE et l’avis officiel de l’éditeur. Une version corrigée n’est affichée que si un document la nomme : celui de l’éditeur, ou celui du CERT-FR pour Check Point, avec sa source.

Remédiation

Exploitation connue

Probabilité d’exploitation de 5 % dans les 30 prochains jours (percentile 91 %).

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CERT-FR

1 document du CERT-FR (ANSSI) mentionne cette CVE.

Chronologie

1. 21 janv. 2026Ajout au catalogue CISA KEV
2. 21 janv. 2026Publication par la source
3. 11 févr. 2026Échéance de remédiation CISA
4. 17 juin 2026Dernière modification de la fiche source
5. 29 sept. 2026Calcul du score EPSS
6. 1 oct. 2026Dernière vérification par Patcharo

Sources officielles

• Cisco (CVE record)relevé le 1 oct. 2026 à 09:32 UTC
• CISA Known Exploited Vulnerabilitiesrelevé le 1 oct. 2026 à 09:28 UTC
• NVDrelevé le 27 sept. 2026 à 23:44 UTC
• FIRST EPSSrelevé le 30 sept. 2026 à 00:17 UTC
• Cisco Security Advisory cisco-sa-voice-rce-mORhqY4brelevé le 1 oct. 2026 à 09:32 UTC

Cisco · CISA Known Exploited Vulnerabilities · NVD · FIRST EPSS · Cisco Security Advisory cisco-sa-voice-rce-mORhqY4b