Cisco şirkəti, Unified Communications Manager (Unified CM) və Unified Communications Manager Session Management Edition (Unified CM SME) proqramlarında aşkar edilən ciddi təhlükəsizlik zəifliyini aradan qaldırmaq üçün təhlükəsizlik yeniləmələri yayımlayıb. Bu zəiflik CVE-2025-20309 identifikatoru ilə izlənilir və CVSS şkalasında maksimum 10.0 bal alıb. Şirkət, zəifliyin "inkişaf zamanı istifadə üçün nəzərdə tutulmuş statik istifadəçi hesablarının mövcudluğu" səbəbindən yarandığını bildirib.

Unified CM və Unified CM SME proqramları şirkət daxilində səsli zənglərin və digər ünsiyyət vasitələrinin idarə edilməsində mühüm rol oynayır. Lakin statik istifadəçi hesablarının mövcudluğu, hücumçulara kök səviyyəsində (root user) giriş imkanı yaradır. Bu, şəbəkənin təhlükəsizliyini ciddi şəkildə təhlükə altına sala, zənglərin dinlənilməsi və ya istifadəçi girişlərinin dəyişdirilməsi kimi risklərə səbəb ola bilər.

Cisco, zəiflikdən istifadə olunmasına dair heç bir sübutun olmadığını və problemin daxili təhlükəsizlik testləri zamanı aşkar edildiyini bildirib. Zəiflik Unified CM və Unified CM SME-nin 15.0.1.13010-1-dən 15.0.1.13017-1-ə qədər olan versiyalarına təsir edir. Şirkət, uğurlu istismar nəticəsində kök istifadəçisinin səlahiyyətləri ilə əlaqəli qeydlərin "/var/log/active/syslog/secure" faylında saxlanıldığını və bu qeydlərin xüsusi komanda ilə əldə oluna biləcəyini qeyd edib:

cucm1# file get activelog syslog/secure

Bu hadisə, Cisco-nun Identity Services Engine və ISE Passive Identity Connector proqramlarında aşkar edilən və CVE-2025-20281 və CVE-2025-20282 identifikatorları ilə izlənilən digər iki təhlükəsizlik zəifliyini düzəltdikdən bir neçə gün sonra baş verib. Həmin zəifliklər də təsdiqlənməmiş hücumçulara kök istifadəçi olaraq əmrləri icra etməyə imkan verirdi. Cisco, istifadəçiləri proqramlarını yeniləməyə və təhlükəsizlik tövsiyələrinə əməl etməyə çağırır.