Ciscoは2026年10月21日付で、通話管理製品のCisco Unified Communications Manager(Unified CM)とUnified CM SMEに、アクセス制御の脆弱性があると公表しました。認証なしの遠隔攻撃により、本来は許可されていないネットワーク部分にアクセスされる恐れがあります。機器の設定にかかわらず影響し、回避策もないため、利用企業は修正済みリリースへの更新を確認する必要があります。
認証なしで許可範囲外へアクセスされる恐れ
アクセス制御は、利用者や通信がアクセスできる範囲を制限する仕組みです。今回の問題は、特定のHTTPリクエストに対する入力検証の不備が原因です。攻撃者が細工したリクエストを送ることで、その制限を回避できる恐れがあります。
Ciscoによると、対象製品は機器の設定にかかわらず影響を受けます。「この機能を使っていないから対象外」といった設定ベースの切り分けではなく、まず製品名と導入版で確認する必要があります。
公表時点で、Ciscoの製品セキュリティ対応チームであるPSIRTは、この脆弱性の公開情報や悪用を把握していないとしています。これは公表時点の状況であり、修正を不要とする説明ではありません。
15系は15SU5で修正、14系は移行が必要
Ciscoは修正版ソフトウェアを公開済みです。Unified CMとUnified CM SMEの15系は、15SU5で修正されています。14系については、修正済みリリースへの移行が必要とされています。取材資料には、14系向けの具体的な移行先リリースは書かれていません。
この脆弱性に対する回避策はなく、Ciscoは修正済みリリースへのアップグレードを強く推奨しています。設定変更だけで対処を完了したと扱わず、更新や移行の計画につなげることが重要です。
Ciscoは別途、2026年10月のUnified Communications製品向けセキュリティ強化も発表しており、今回の修正はその包括的な強化に含まれます。更新を依頼する際は、今回の脆弱性への対応が含まれるリリースかを確認してください。日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: Unified CMまたはUnified CM SMEで、今回の修正が未適用のリリースを利用する会社です。機器の設定にかかわらず確認が必要です。
- 影響する: 両製品の14系を利用する会社です。修正済みリリースへの移行が必要なため、更新作業だけでなく移行先の確認も必要です。
- 影響しない: Unified CMとUnified CM SMEのどちらも利用していない会社は、今回の対象製品には該当しません。他のCisco製品の安全性まで示す発表ではありません。
- 影響しない: 両製品の15系で、15SU5に含まれる今回の修正を適用済みの環境です。他の脆弱性への対応状況とは分けて管理してください。
情シスが今日やること
以下は社内対応の進め方の提案です。Ciscoが指定した対応期限ではありません。
- 今日中にIT資産台帳と電話基盤の運用資料を調べ、Unified CM、Unified CM SMEの有無を確認します。台帳で分からなければ、電話基盤の運用担当者や保守委託先へ、製品名と現在のリリースを照会してください。版確認に使う管理画面名や操作経路は、発表には書かれていません。
- 確認したリリースを、15系と14系に分けて記録します。15系は15SU5の修正適用状況を確認し、14系は保守窓口に修正済みの移行先を確認します。製品名だけで「対応済み」にしないことが大切です。
- 未修正の環境があれば、今日中に電話基盤の責任者と保守委託先へ、認証なしで悪用される恐れと、回避策がないことを共有します。そのうえで、更新候補日と作業による業務への影響の確認を依頼してください。
- 更新日を決める前に、適用先に今回の修正が含まれることを保守窓口と照合します。作業後は導入リリースを再確認し、実施日と確認結果を資産台帳や対応記録に残してください。
