Błąd w interfejsie zarządzania Cisco Unified CM, Unity Connection i Webex Calling DI daje napastnikowi bez hasła uprawnienia root. CISA potwierdza ataki, obejść nie ma. Zaktualizuj centralę lub zaplanuj migrację.
Ten alert jest dla zarządu, CTO i CFO firm, które mają telefonię firmową lub pocztę głosową na systemach Cisco Unified Communications Manager, Unity Connection albo Webex Calling Dedicated Instance. Werdykt: jeśli Twoja centrala działa na wydaniu bez poprawki, zaktualizuj ją lub wgraj łatkę natychmiast, a jeśli stoi na gałęzi 12.5, uruchom dziś projekt migracji, bo obejścia nie ma, a luka jest wykorzystywana.
Amerykańska agencja CISA 21 stycznia 2026 roku, w dniu publikacji komunikatu Cisco, dopisała podatność CVE-2026-20045 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w interfejsie zarządzania przez przeglądarkę. Napastnik bez konta i hasła wysyła ciąg spreparowanych żądań HTTP, uzyskuje dostęp do systemu operacyjnego serwera telefonii, a potem podnosi uprawnienia do najwyższych (root).
Cisco potwierdza próby wykorzystania w działających instalacjach i zaznacza, że nie istnieją obejścia, a podatność występuje niezależnie od konfiguracji. Termin naprawy wg CISA minął 11 lutego 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-20045 |
Data dodania do CISA KEV | 2026-01-21 |
Termin naprawy wg CISA | 2026-02-11 (21 dni od wpisu) |
Produkt | Cisco Unified Communications Manager (Unified CM), Unified CM Session Management Edition, Unified CM IM & Presence Service, Cisco Unity Connection, Cisco Webex Calling Dedicated Instance |
Wersje zagrożone | Gałęzie 12.5, 14 i 15 bez poprawki, niezależnie od konfiguracji. Atak wymaga dostępu sieciowego do interfejsu zarządzania przez przeglądarkę |
Wersje bezpieczne | Unified CM, IM&P, SME, Webex Calling DI: 14SU5 lub 15SU4, albo łatka ciscocm.CSCwr21851_Remote_Code_Execution_v1.zip. Unity Connection: 14SU5, 15SU4 (zapowiedziane na marzec 2026 roku) albo łatka ciscocm.cuc.CSCwr29208_C0266-v2.zip. Gałąź 12.5: brak poprawki, tylko migracja na wydanie naprawione |
Typ podatności | Wstrzyknięcie kodu z eskalacją uprawnień do root; CWE-94 |
Ocena CVSS | NVD: 9.8 KRYTYCZNA (CVSS 3.1). Cisco: 8.2 WYSOKA (CVSS 3.1), ale producent nadał komunikatowi najwyższy stopień istotności (Critical) ze względu na możliwość uzyskania uprawnień root |
Wyobraź sobie, że centrala telefoniczna firmy stoi w piwnicy za drzwiami z domofonem. Domofon ma być tylko do rozmowy z portierem, ale ktoś odkrył, że wypowiedzenie odpowiedniej sekwencji słów otwiera drzwi, a potem także szafę z kluczami do całego budynku. Nie trzeba mieć przepustki ani znać portiera.
Tak działa ten błąd. W świadomości firm centrala to sprzęt jak instalacja elektryczna, ale pod spodem jest zwykły serwer z systemem operacyjnym i stroną do zarządzania. Ta strona nie sprawdzała poprawnie przesyłanych danych, więc napastnik może przemycić polecenia i przejąć serwer. Przejęta centrala pozwala podsłuchiwać i nagrywać rozmowy, przekierowywać połączenia oraz dzwonić na płatne numery zagraniczne na koszt firmy.
💡 Unified CM to serwer zarządzający telefonią IP w firmie: numeracja, przekierowania, zestawianie połączeń. Unity Connection to poczta głosowa. Root to najwyższe uprawnienia w systemie Linux, pozwalające zrobić z serwerem wszystko. Wstrzyknięcie kodu oznacza przemycenie poleceń w danych wysyłanych do programu. SU (Service Update) to oznaczenie pakietu aktualizacji Cisco.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Dostęp do strony zarządzania centralą | Tylko administrator z hasłem | Obca osoba bez hasła, z uprawnieniami root |
Rozmowy z klientami i pacjentami | Poufne | Mogą być podsłuchiwane i nagrywane |
Przekierowania połączeń | Ustawia dział IT | Mogą kierować klientów do przestępców |
Połączenia zagraniczne | Tylko służbowe | Masowe połączenia na płatne numery na koszt firmy |
Tymczasowe „przymknięcie” problemu | Zwykle możliwe (wyłączenie funkcji) | Niemożliwe, obejść nie ma |
źródło: Pexels, Pedro SilvaPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Najbardziej narażone są instalacje, w których interfejs zarządzania jest osiągalny z internetu; w innych napastnik musi najpierw dostać się do sieci firmy.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie interfejsów zarządzania Cisco Unified CM i Unity Connection | Lista central do ataku |
2. Wejście | T+kilka minut | Ciąg spreparowanych żądań HTTP do interfejsu zarządzania | Dostęp do systemu jako zwykły użytkownik |
3. Eskalacja | T+kilkanaście minut | Podniesienie uprawnień do root | Pełna kontrola nad serwerem telefonii |
4. Utrwalenie | T+1 godzina | Założenie własnych kont i ukrytych dróg powrotu | Dostęp przetrwa zmianę haseł |
5. Nadużycia | T+godziny do dni | Przekierowania, nagrywanie rozmów, połączenia na płatne numery | Straty finansowe i wyciek poufnych rozmów |
6. Dalszy ruch | T+dni | Wykorzystanie serwera jako przyczółka do ataku na inne systemy w sieci | Włamanie rozszerza się poza telefonię |
Centrala telefoniczna rzadko jest na liście serwerów do regularnych aktualizacji, a obsługuje rozmowy z klientami, rezerwacje i pocztę głosową. Brak obejścia oznacza, że jedynym wyborem jest planowana przerwa na aktualizację albo ryzyko nieplanowanego przejęcia.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymanie telefonii, nieodebrane zamówienia i rezerwacje, odtwarzanie serwera | Godziny do dni | 20 tys. do 150 tys. PLN (przestój, odtworzenie konfiguracji) |
Bezpieczeństwo danych | Podsłuch i nagrania rozmów, dostęp do poczty głosowej i książki adresowej | Godziny od wejścia | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Nadużycia telekomunikacyjne na płatne numery, koszty migracji gałęzi 12.5 pod presją czasu | Dni do tygodni | 10 tys. do 300 tys. PLN |
Reputacyjny | Klienci dowiadują się o podsłuchanych rozmowach lub przekierowaniach | Tygodnie | 30 tys. do 300 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; spory z operatorem o rachunki | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z centralą Cisco bez poprawki
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo napastnik bez hasła uzyskuje uprawnienia root na serwerze telefonii; prawdopodobieństwo jest wysokie, a nie maksymalne, bo najłatwiej zaatakować centrale z interfejsem zarządzania dostępnym spoza sieci firmy.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, jakie produkty Cisco UC działają w firmie (Unified CM, IM&P, SME, Unity Connection, Webex Calling DI) i w jakiej wersji | Dziś | Administrator telefonii / integrator |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy interfejs zarządzania jest dostępny z internetu; jeśli tak, natychmiast go odciąć | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Wgrać 14SU5 / 15SU4 lub łatkę CSCwr21851 (Unified CM) i CSCwr29208 (Unity Connection) | Dziś lub jutro, wieczorne okno serwisowe | Administrator telefonii / integrator |
4 | 🔴 NATYCHMIAST | Dla gałęzi 12.5: zatwierdzić projekt migracji na wydanie naprawione z harmonogramem | Dziś | Zarząd / CTO |
5 | 🟠 PILNIE | Przejrzeć konta administracyjne, przekierowania i nietypowe połączenia zagraniczne od stycznia 2026 roku | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟠 PILNIE | Poprosić dostawcę zapory o włączenie reguł Snort 65750, 65751 i 65752 | Do 7 dni | Administrator sieci |
7 | 🟠 PILNIE | Ustawić u operatora limit kwot i blokadę połączeń na drogie numery zagraniczne | Do 7 dni | CFO |
8 | 🟡 WAŻNIE | Wpisać centralę na listę serwerów z regularnym sprawdzaniem wersji i daty końca wsparcia | Do 30 dni | CTO |
Cisco wprost stwierdza, że nie istnieją obejścia usuwające tę podatność, a gałąź 12.5 nie dostanie poprawki. Poniższe miary nie usuwają luki, tylko ograniczają dostęp do niej lub pomagają wykryć atak. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie interfejsu zarządzania od internetu i dostęp tylko z wydzielonej sieci administracyjnej | Średnia do wysokiej wobec ataków z zewnątrz, nie usuwa luki | Średnia |
Reguły wykrywania Snort 65750 do 65752 w zaporze z modułem IPS | Średnia: pomaga wykryć i zablokować próby, nie naprawia serwera | Łatwa, jeśli firma ma taki moduł |
Limity i blokady połączeń zagranicznych u operatora | Niska wobec samej luki, wysoka wobec strat na rachunku | Łatwa |
Codzienny przegląd kont administracyjnych i przekierowań | Niska jako ochrona, przydatna do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp do serwera telefonii | Możliwy bez hasła, z prawami root | Tylko dla uprawnionych administratorów |
Interfejs zarządzania | Często dostępny z sieci biurowej lub internetu | Tylko z sieci administracyjnej |
Gałąź 12.5 | Bez przyszłości, bez poprawki | Harmonogram migracji zatwierdzony |
Ryzyko rachunku za połączenia | Nieograniczone | Limity u operatora |
Status wobec terminu CISA | Zaległość od 11 lutego 2026 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Cisco PSIRT wie o próbach wykorzystania w działających instalacjach |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD (CVSS 3.1); 8.2 WYSOKA wg Cisco (CVSS 3.1) przy stopniu istotności Critical |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Identyfikatory Cisco | CSCwr21851, CSCwr29208, CSCwr29216; rejestr europejski ENISA: EUVD-2026-3600 |
Produkty niepodatne | M.in. Emergency Responder, Finesse, Unified Contact Center Enterprise i Express, Unified Intelligence Center, Prime Collaboration Deployment |
Różnica ocen wynika z opisu skutków: Cisco zakłada pełny odczyt danych i niewielką możliwość zmian, NVD pełne naruszenie poufności, integralności i dostępności. Sam producent podniósł jednak stopień istotności do najwyższego, więc liczba 8.2 nie powinna obniżać priorytetu.
Sygnały zagrożenia dla CVE-2026-20045
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (Cisco) 8.2/10 ████████████████░░░░ WYSOKA
Istotność wg Cisco Critical████████████████████ najwyższa
CISA KEV TAK ████████████████████ ataki potwierdzone
Obejścia BRAK ████████████████████ tylko aktualizacja 2026-01-21 Komunikat Cisco cisco-sa-voice-rce-mORhqY4b, publikacja CVE,
CISA dodaje lukę do katalogu KEV
2026-02-11 Termin naprawy wg CISA dla agencji federalnych
2026-02-13 Ostateczna wersja komunikatu Cisco (zmiana nazw plików łatek)
2026-03 Zapowiedziane wydanie Unity Connection 15SU4
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 7 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny komunikat producenta z wersjami i łatkami: Cisco Security Advisory cisco-sa-voice-rce-mORhqY4b . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-20045 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy telefonia lub poczta głosowa działa na Cisco Unified CM lub Unity Connection | CTO | DZISIAJ |
2 | Uzyskać od integratora na piśmie wersję i gałąź każdego serwera | CTO | DZISIAJ |
3 | Zatwierdzić wieczorne okno serwisowe z przerwą w telefonii | CTO | DZISIAJ |
4 | Dla gałęzi 12.5: zatwierdzić budżet i harmonogram migracji | CFO | DO JUTRA |
5 | Ustawić u operatora limity i blokady połączeń na płatne numery zagraniczne | CFO | DO JUTRA |
6 | Zlecić przegląd kont, przekierowań i bilingów od stycznia 2026 roku | CTO | DO JUTRA |
7 | Sprawdzić umowę serwisową z integratorem pod kątem obowiązku aktualizacji | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jakie produkty Cisco UC działają u nas i w jakich wersjach? | [produkt / wersja] | 🔴 |
2 | Czy któryś serwer jest na gałęzi 12.5? | TAK / NIE | 🔴 |
3 | Czy interfejs zarządzania jest dostępny z internetu lub z sieci biurowej? | TAK / NIE | 🔴 |
4 | Kiedy wgrano 14SU5 / 15SU4 lub łatkę CSCwr21851 / CSCwr29208? | [data] | 🔴 |
5 | Czy reguły Snort 65750 do 65752 są włączone na naszej zaporze? | TAK / NIE | 🟠 |
6 | Czy w bilingach od stycznia 2026 roku są nietypowe połączenia zagraniczne? | TAK / NIE | 🟠 |
7 | Kiedy kończy się wsparcie producenta dla naszej wersji centrali? | [data] | 🟡 |
CVE-2026-20045 pozwala bez hasła przejąć serwer telefonii Cisco z uprawnieniami root, co otwiera drogę do podsłuchu rozmów, nadużyć na rachunkach i dalszego ataku na sieć. CISA i Cisco potwierdzają ataki, obejść nie ma, a gałąź 12.5 nie dostanie poprawki, więc aktualizacja lub decyzja o migracji musi zapaść dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.