Cisco Unified Communications Products Remote Code Execution Vulnerability

Falha de code injection (CWE-94) nas interfaces de gerenciamento web do Cisco Unified Communications Manager, Unified CM SME, Unified CM IM&P, Unity Connection e Webex Calling Dedicated Instance, que permite a um atacante remoto e não autenticado executar comandos arbitrários no sistema operacional subjacente. A Cisco atribuiu Security Impact Rating Critical mesmo com CVSS 8.2 porque o exploit leva de acesso user-level a root, e o CISA confirma exploração ativa em ambiente real (KEV). Não existe workaround — a única correção é atualizar ou aplicar patch.

A causa raiz é validação inadequada de entrada fornecida pelo usuário em requisições HTTP processadas pela interface web de administração desses produtos (CWE-94, Code Injection). O advisory da Cisco não detalha o endpoint, parâmetro ou biblioteca vulnerável — apenas confirma que uma sequência de requisições HTTP manipuladas, enviada à interface de gerenciamento, é suficiente para acionar a falha.

O impacto declarado é confidencialidade alta (C:H) e integridade baixa (I:L) no vetor CVSS, mas a descrição textual da Cisco é mais grave que o score isolado sugere: exploração bem-sucedida dá ao atacante acesso user-level ao SO subjacente e permite escalar privilégios até root — daí o SIR Critical sobrepondo o CVSS Base 8.2.

A vulnerabilidade afeta os produtos independentemente da configuração do dispositivo ("regardless of device configuration", conforme o advisory), ou seja, não depende de um recurso opcional habilitado. Cisco confirmou que produtos correlatos da linha de contact center e colaboração — Unified CCE, Unified CCX, CUIC, Finesse, Emergency Responder, Virtualized Voice Browser, entre outros — não são afetados, apesar do nome genérico "Unified Communications" sugerir superfície maior.

O vetor é rede (AV:N), sem necessidade de autenticação (PR:N) e sem interação do usuário (UI:N), com complexidade de ataque baixa (AC:L) segundo o CVSS — características que casam com a descrição do fornecedor de que basta enviar uma sequência de requisições HTTP manipuladas à interface web de administração do dispositivo. O único pré-requisito real é acesso de rede a essa interface de gerenciamento, que em operação normal deveria estar restrita a redes de administração e não exposta à internet.

A Cisco PSIRT confirmou estar ciente de tentativas de exploração no mundo real, e a CVE está no catálogo KEV da CISA com exploração confirmada, além de existir PoC pública conhecida. Isso eleva a urgência prática além do que o EPSS baixo (0,043) sugere — EPSS reflete probabilidade estatística de exploração em massa, não a existência de exploração direcionada já em curso contra este alvo específico.

O resultado final de um ataque bem-sucedido é RCE com escalonamento de privilégios a root no sistema operacional subjacente ao Unified CM, Unity Connection ou IM&P — controle total do servidor de telefonia/mensageria, não apenas da aplicação web.

Não há workaround. O próprio advisório da Cisco declara explicitamente "There are no workarounds that address this vulnerability" — não existe flag, ACL ou configuração compensatória documentada pelo fornecedor que neutralize a falha sem atualizar o software. A única via de remediação é patch ou upgrade.

Para a linha 12.5.x (Unified CM, Unified CM SME, Unified CM IM&P, Webex Calling Dedicated Instance e Unity Connection) não há patch — é necessário migrar para uma release corrigida. Para a linha 14.x, a correção está na 14SU5, ou pode-se aplicar o patch específico da versão (ciscocm.CSCwr21851_Remote_Code_Execution_v1.zip para Unified CM/SME/IM&P/Webex Calling Dedicated Instance; ciscocm.cuc.CSCwr29208_C0266-v2.zip para Unity Connection). Para a linha 15.x, a correção é a 15SU4 — no caso do Unity Connection, a 15SU4 estava prevista para março de 2026 na data de atualização do advisory (13/fev/2026), ou seja, pode ainda não estar disponível; nesse ínterim, aplicar o patch de versão é a alternativa. Os patches são específicos por versão — o README anexado a cada arquivo deve ser consultado antes de aplicar.

Como controle compensatório real (não substitui o patch), restringir o acesso de rede à interface web de administração desses sistemas a segmentos de gestão confiáveis reduz a superfície de exposição, já que o vetor exige alcançar essa interface via HTTP. Isso não é mitigação oficial da Cisco, apenas redução de exposição enquanto o patch não é aplicado.

A Cisco associou regras Snort (65750–65752) a este advisory, indicando disponibilidade de assinaturas de IDS/IPS voltadas à detecção de tentativas de exploração — verificar se essas regras estão habilitadas no ambiente de monitoramento é o sinal mais concreto disponível. Fora isso, o advisório não publica indicadores de comprometimento específicos (padrões de log, URIs, parâmetros); monitorar logs de acesso da interface web de administração do Unified CM/Unity Connection/IM&P por sequências anômalas de requisições HTTP e por criação inesperada de processos ou usuários no sistema operacional subjacente é a abordagem genérica recomendável na ausência de IOCs oficiais.