סיסקו תיקנה חולשה במרכזיות Unified Communications Manager, המערכות שמנהלות את הטלפוניה בארגונים גדולים. תוקף לא מזוהה יכול לנצל אותה כדי לכתוב קבצים על מערכת ההפעלה של השרת, ומשם להרחיב את ההרשאות שלו. יש כאן תנאי מקדים חשוב שמצמצם את מספר המערכות החשופות.
מה החולשה?
המקור הוא בדיקה לא מספקת של בקשות HTTP מסוימות שמגיעות לשרת. תוקף שבונה בקשה בצורה מתאימה גורם לשרת לפנות ליעד שהוא בחר, מנגנון שנקרא SSRF, זיוף בקשות מצד השרת.
מה שהופך את המקרה הזה לחמור יותר מ-SSRF רגיל הוא שהשרשרת לא נעצרת בפנייה. לפי התיאור של סיסקו, אפשר להגיע דרכה לכתיבת קבצים על מערכת ההפעלה שמתחת, וקובץ שנכתב במקום הנכון משמש אחר כך כדי להשיג הרשאות root, כלומר שליטה מלאה.
סיסקו עצמה מציינת שהיא סיווגה את החולשה כקריטית למרות שהציון המספרי עומד על 8.6, ודווקא בגלל האפשרות להגיע להרשאות מלאות. זה מקרה טוב להכיר: ציון CVSS מודד את מה שהוגדר בוקטור, ולפעמים היצרן שמכיר את המוצר רואה תמונה חמורה יותר.
מי מושפע?
ארגונים שמפעילים Unified Communications Manager בגרסאות 14.0 עד 14su6, או 15.0 עד 15su4a, כולל מהדורת Session Management Edition.
יש כאן תנאי שמצמצם מאוד את התמונה, וחשוב לומר אותו במפורש: הניצול אפשרי רק אם שירות בשם WebDialer מופעל. השירות הזה כבוי כברירת מחדל. ארגון שלא הדליק אותו אינו חשוף לחולשה הזאת, גם אם הגרסה שלו מופיעה ברשימה.
האם מנוצלת בפועל?
כן. ב-25 ביוני 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שידוע שתוקפים משתמשים בהן בשטח.
מה עושים?
בדקו קודם כול אם WebDialer מופעל אצלכם. זאת הבדיקה שקובעת אם אתם בכלל בסיכון, והיא לוקחת דקות.
התקינו את העדכון של סיסקו לפי הודעת האבטחה. אם הגרסה שלכם ברשימה, עדכנו גם אם השירות כבוי, כדי שהדלקה עתידית שלו לא תחזיר את החשיפה.
אם השירות מופעל ואינכם נזקקים לו, כיבוי שלו מסיר את החשיפה עד שתספיקו לעדכן.
מרכזיות טלפוניה נוטות להישאר עם אותה גרסה שנים, כי הן עובדות והעדכון שלהן דורש חלון תחזוקה. זאת בדיוק הסיבה שהן מצטברות לפיגור, ושווה לבדוק מתי בפעם האחרונה המערכת הזאת קיבלה עדכון בכלל.