Cisco heeft updates uitgebracht om een kwetsbaarheid in Unified Communications-producten te verhelpen die actief wordt misbruikt voor remote code execution. Cisco heeft niet bekendgemaakt sinds wanneer het misbruik van deze kwetsbaarheid is waargenomen.

De kwetsbaarheid, aangeduid als CVE-2026-20045, treft Webex Calling Dedicated Instance, Unified Communications Manager, Unified Communications Manager Session Management Edition, Unified Communications Manager IM & Presence Service en Cisco Unity Connection. Deze producten worden gebruikt voor voip en zakelijke communicatie. Het probleem ontstaat door onjuiste verwerking van gebruikersinvoer. Aanvallers kunnen speciaal geprepareerde HTTP-verzoeken naar de webinterface van een kwetsbaar apparaat sturen om toegang te krijgen tot het besturingssysteem en hun rechten te verhogen naar root-niveau. De kwetsbaarheid heeft een impactscore van 8.2 op een schaal van 10, wat normaal gesproken als "high" wordt beoordeeld, maar Cisco heeft het als "critical" geclassificeerd vanwege de mogelijkheid voor aanvallers om root-rechten te verkrijgen en willekeurige code uit te voeren. Cisco adviseert klanten dringend om de update te installeren. Ook het Amerikaanse cyberagentschap CISA heeft melding gemaakt van het misbruik.