Cisco Unified Communications termékek 2026. októberi megerősítő kiadása kritikus hitelesítési és egyéb sérülékenységeket javít

Mi történt

A Cisco belső biztonsági vizsgálatot végzett a Unified Communications termékeiben, és megerősítő frissítést adott ki, amely nyolc sérülékenységet javít. A legsúlyosabbak a nem megfelelő hitelesítés (CVE-2026-76474) és az erőforrás élettartama során annak nem megfelelő vezérlése (CVE-2026-76473). Mindkettő kritikus minősítésű, 9,8-es CVSS-pontszámmal, és hitelesítő adatok, illetve felhasználói beavatkozás nélkül, a hálózaton keresztül elérhető; kihasználásuk magas szintű hatást gyakorolhat a bizalmasságra, a sértetlenségre és a rendelkezésre állásra.

Egy további kritikus hiba a cross-site scripting (CVE-2026-76475), amely jogosultságok nélkül, a hálózaton keresztül elérhető, de felhasználói interakciót igényel; megváltozott hatókörben magas szintű bizalmassági és sértetlenségi hatáshoz vezethet. A további magas súlyosságú hibák közé tartozik az alacsony jogosultságot igénylő SQL-injektálás (CVE-2026-76477) és a nem megfelelő bemenet-ellenőrzés (CVE-2026-76476), a helyi útvonalbejárás (CVE-2026-76479) és a helyi, nem megfelelő hozzáférés-vezérlés (CVE-2026-76478), valamint egy rendelkezésre állást befolyásoló kivételkezelési hiba, amely hitelesítés nélkül elérhető (CVE-2026-76481).

A Cisco PSIRT közlése szerint nincs tudomása a közleményben ismertetett sérülékenységekkel kapcsolatos nyilvános bejelentésekről vagy rosszindulatú felhasználásról. A gyártó a teljes biztonsági közleményt kritikusnak minősíti.

Kit érint

Az alábbi termékek és kiadások érintettek:

• Cisco Emergency Responder: 14, 14SU1, 14SU2, 14SU3, 14SU3a, 15, 15SU1, 15SU1a
• Cisco Unified Communications Manager: 14, 14SU1, 14SU2, 14SU3, 15, 15SU1, 14SU4, 14SU4a
• Cisco Unified Communications Manager IM and Presence Service: 14, 14SU1, 14SU2, 14SU2a, 14SU3, 15, 15SU1, 14SU4
• Cisco Unity Connection: 14, 14SU1, 14SU2, 14SU3, 14SU3a, 15, 15SU1, 14SU4

Ezek a hívásvezérlés, a jelenlét és a hangposta alapvető platformjai, amelyeket általában magas rendelkezésre állású fürtökben telepítenek, és gyakran a belső hálózatokból is elérhetők; egyes szervezetek az adminisztrációs felületeket az internet felől is elérhetővé teszik.

Mit kell most tenni

1. Ellenőrizze, hogy a Cisco Emergency Responder, a Unified CM, az IM and Presence Service vagy a Unity Connection valamelyik érintett 14-es vagy 15-ös kiadását futtatja-e, beleértve az SU-kiadásokat is.
2. Telepítse a Cisco 2026. októberi szoftveres megerősítő kiadását minden érintett termékhez. Az ezen az oldalon megjelenített adatokban nem szerepelnek javított verziószámok; a termékének és verziójának megfelelő pontos javított buildet a Cisco biztonsági közleményében ellenőrizze.
3. Részesítse előnyben a hálózaton keresztül elérhető rendszereket, különösen azokat a felügyeleti felületeket, amelyek a voice VLAN-on kívülről is elérhetők.
4. A Cisco közlése szerint ezekre a sérülékenységekre nincs kerülő megoldás, ezért a frissítést tekintse az elsődleges kárelhárításnak.

Hogyan észlelhető

A Cisco biztonsági közleménye nem sorol fel kompromittálódásra utaló jeleket ezekhez a sérülékenységekhez. Mivel a legsúlyosabb hibák közül több hitelesítő adatok nélkül, a hálózaton keresztül elérhető, ellenőrizze a hitelesítési és hozzáférési naplókat az érintett hívásvezérlő, jelenléti és hangposta-rendszerekre irányuló váratlan vagy ismétlődő próbálkozások nyomaiért, különösen azokon a felületeken, amelyek a hanghálózaton kívül is elérhetők.

A javításon túl

Ez a hibacsomag arra emlékeztet, hogy a hanginfrastruktúra üzletileg kritikus támadási felület, nem csupán belső infrastruktúra. A legsúlyosabb hibák közül több hitelesítő adatok nélkül, a hálózaton keresztül elérhető; egy kitettségkezelési vizsgálatnak pontosan ezt kellene észrevennie, mielőtt a támadó kihasználná. Bevezetési és felmérési szolgáltatásaink segítségével ezek a Cisco-telepítések tesztelhetők és megerősíthetők, Virtuális CISO szolgáltatásunk (vCISO) pedig segíthet feltérképezni a kitett szolgáltatásokat, és a javítások prioritását a leginkább lényeges kockázatokhoz igazítani.