Cisco Unified Communications Manager にSSRF（CVE-2026-20230）— 認証不要でOSへファイル書き込み、root奪取の足がかりに
企業のIP電話・通話制御の中枢 Cisco Unified Communications Manager（Unified CM／SME）にサーバサイド・リクエスト・フォージェリ（SSRF）の脆弱性。認証不要の遠隔攻撃者が基盤OSへファイルを書き込め、のちのroot（最高権限）昇格に使われうる。CISAは2026年6月25日にKEVへ追加、是正期限は3日後の6月28日。
脆弱性の基本情報
- CVE番号CVE-2026-20230
- CVSS基本値8.6 HIGH
- 対象（ベンダー／製品）Cisco Unified Communications Manager
- CWECWE-918
- 悪用状況CISA KEV 掲載（実際の悪用を確認）
- 是正期限2026-06-28（米連邦民生機関・BOD 22-01）
要点
SSRF（サーバサイド・リクエスト・フォージェリ）とは、外部の攻撃者が「サーバ自身」に代理でリクエストを送らせる攻撃を指す。サーバは内部ネットワークや自分自身のサービスに対して、外部者よりはるかに強い権限・到達性を持つ。
その信頼を悪用して本来届かないはずの内部処理へ到達するのがSSRFの本質で、本件では未認証の遠隔攻撃者が基盤OSへのファイル書き込みまで到達し、それをroot（Linux系OSの最高権限）奪取の足がかりにできるとされる。「認証不要」で「最終的にシステム全体の掌握につながりうる」という組み合わせが評価を押し上げている。
狙われたのが通話基盤である点も重い。Unified CM は企業のIP電話・会議・連絡系統を束ねる、いわば「電話交換機のIP版」で、止めれば業務連絡が止まるため更新の適用が後回しにされやすい。ネットワークの深部に置かれ、長期稼働し、監視の目も薄い——攻撃者が持続的な足場（潜伏拠点）を築く場所として好条件が揃っており、通信インフラ機器を狙う近年の攻撃動向とも合致する。
KEVへの追加は実際の悪用が確認されたことを意味し、是正期限が追加から3日（BOD 26-04の最優先級）に設定された。対応はCiscoのアドバイザリに沿った修正版適用が基本線だが、この機会に通話基盤が外部からどこまで到達可能かという公開範囲の点検、および侵害痕跡（不審なファイル・アカウント）の確認まで行うことが望ましい。
なぜ重要か
通話・会議基盤の掌握は、盗聴・業務停止・ネットワーク深部への足場化に直結する。Unified CMを運用する組織は修正版適用に加え、「止めにくいインフラ機器ほど後回しにされる」構造そのものの見直し（更新窓口の確保・到達範囲の制限）が論点。通信インフラを狙う攻撃動向の具体例として参照価値が高い。
よくある質問（FAQ）
SSRFとはどんな攻撃ですか。
rootを直接取られるのですか。
何をすべきですか。
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。