Hakerlar Cisco Unified CMdagi yangi zero-dayni nishonga olmoqda
0
3
0
Cisco CVE-2026-20045 nomli jiddiy zaiflik uchun yangilanishlarni (patchlarni) chiqardi. Bu zaiflik tasdiqlovsiz masofaviy kodni ijro etish (unauthenticated remote code execution) imkonini beradi.
Chorshanba kuni Cisco yana bir nol-kunlik zaifligiga qarshi yangilanishlarni e’lon qildi, bu zaiflik muhaddidlar tomonidan nishonga olingan.
CVE-2026-20045 deb nomlangan va jiddiy (critical) deb baholangan bu nuqson Cisconing bir necha birlashtirilgan aloqa mahsulotlariga ta’sir qiladi, jumladan: Cisco Unified Communications Manager (Unified CM) va uning Session Management Edition (SME) talqini, Unified CM IM & Presence Service, Unity Connection hamda Webex Calling Dedicated Instance.
Cisco ma’lumotiga ko‘ra, masofadan turib tasdiqlovsiz hujumchi CVE-2026-20045 zaifligidan foydalanib, qurilmaning asosiy operatsion tizimida zararli buyruqlarni bajarishi mumkin.
Noma’lum tashqi tadqiqotchilar tomonidan yetkazib berilgan bu nol-kunlik zaiflik maxsus tayyorlangan HTTP so‘rovlarini nishonga olingan qurilmaning veb-boshqaruv interfeysiga yuborish orqali ishlatilishi mumkin.
“Muvaffaqiyatli hujum hujumchiga asosiy operatsion tizimda oddiy foydalanuvchi darajasidagi kirish huquqini olish va keyin imtiyozlarni root darajasiga ko‘tarish imkonini beradi”, — deb tushuntirdi Cisco.
CVE-2026-20045 ga qaratilgan hujumlar bo‘yicha ochiq ma’lumotlar mavjud emas. Cisco o‘z maslahatida “ushbu zaiflikning yovvoyi tabiatda sinovdan o‘tkazilayotgani haqida xabardor” ekanligini ta’kidlagan.
Kiberxavfsizlikka ixtisoslashgan internet qidiruv tizimi Hunter hozirda Cisco Unified CM ning taxminan 1300 ta internetga ochiq jabhasini ko ‘rsatmoqda, ulardan deyarli yarmi AQShda joylashgan.
Kiberxavfsizlik agentligi CISA CVE-2026-20045 ni o‘zining Known Exploited Vulnerabilities (KEV) turkumiga qo‘shdi va federal idoralarga uni 11-fevralgacha bartaraf etishni buyurdi.
CISAning KEV turkumida hozirda so‘nggi o‘n yil ichida yovvoyi tabiatda ishlatilgan taxminan 80 ta Cisco mahsuloti zaifliklari mavjud. O‘tgan yil davomida agentlikning “majburiy tuzatish” ro‘yxatiga sakkizta Cisco zaifligi qo‘shilgan.
Eng so‘nggi qo‘shilganlardan biri — CVE-2025-20393 bo‘lib, bu Cisco Secure Email Gatewayda yuzaga kelgan muammo bo‘lib, Xitoy bilan bog‘liq APT tomonidan hujumlarda ishlatilgan. Ushbu nol-kunlik zaiflik ochiq e’lon qilingandan keyin tarmoq giganti bir necha hafta o‘tgach yangilanishlarni chiqargan.
