Alerta crítico da Cisco adesivo urgente para CVE-2026-20045 que permite execução remota de código e elevação de privilégios em plataformas de voz e colaboração

A Cisco publicou atualizações urgentes para corrigir uma vulnerabilidade de segurança que a empresa qualifica como crítica e que já está sendo explorada em ambientes reais. Identificada como CVE-2026-20045 e com pontuação CVSS de 8.2, a falha permite que um atacante remoto sem autenticar execute comandos arbitrários sobre o sistema operacional subjacente de dispositivos afetados, o que pode terminar em uma escalada de privilégios até root.

De acordo com o aviso oficial da Cisco, a origem técnica do problema é uma validação insuficiente de dados fornecidos pelo utilizador em pedidos de HTTP para a interface de gestão da Web. Um atacante poderia enviar uma sequência especialmente projetada de pedidos e, de conseguir uma exploração bem-sucedida, primeiro obter acesso de usuário ao sistema e depois aumentar para controlar completamente a máquina. A Cisco descreve o vetor de ataque e os produtos envolvidos no seu aviso de segurança.

As soluções publicadas pela Cisco cobrem várias edições de sua plataforma de comunicações unificadas, incluindo instâncias de Unified Communications Manager (Unified CM), Session Management Edition (SME), IM & Presence Service (IM&P), Unity Connection e a oferta Webex Calling Dedicated Instance. Para muitos ramos de produto, a recomendação geral é migrar para uma versão corrigida; em outros casos a Cisco fornece ficheiros de adesivos específicos que devem ser instalados. Por exemplo, para as linhas 14 e 15 indica-se migrar para 14SU5 ou 15SU4 (ou aplicar os pacotes .cop mencionados pelo fabricante) e para 12.5 a recomendação é mover-se para uma versão que inclua a correção.

É importante sublinhar que a Cisco comunicou que não existem soluções alternativas conhecidas que mitigue a vulnerabilidade completamente, pelo que o único remédio confiável é atualizar aos lançamentos corrigidos ou aplicar os adesivos fornecidos. A empresa tem acreditado um pesquisador externo anônimo pela descoberta da falha e alertau sobre tentativas de exploração em condições reais, o que eleva a urgência para as equipes de operações.

O governo dos Estados Unidos reagiu incluindo esta vulnerabilidade no catálogo de Vulnerabilidades Conhecidas e Exploradas (Known Exploited Vulnerabilities, KEV) da CISA. A agência publicou uma nota sobre a incorporação de CVE-2026-20045 na lista de 21 de janeiro de 2026 e exige que as agências federais do ramo civil apliquem as correcções antes de 11 de fevereiro de 2026, o que reflete a gravidade e o risco de exploração ativa.

Se você administra ambientes que empregam produtos de voz e colaboração da Cisco, a prioridade imediata deve ser identificar as instâncias afetadas e programar a atualização logo que possível. Além de aplicar o software corrigido, é conveniente reduzir a exposição de interfaces de gestão: restringir o acesso à interface Web através de controlos de acesso à rede, activar listas de controlo de acesso (ACL) e forçar o painel de administração acessível apenas a partir de redes de administração seguras ou através de túneis VPN robustos. Também é recomendável rever os registros de acesso e os alertas para detectar atividade incomum que pudesse indicar tentativas de exploração.

A ocorrência desta falha surge num contexto em que a Cisco já tinha tido de publicar correcções prévias por defeitos explorados em produção; semanas atrás, foi relatada outra vulnerabilidade crítica em AsyncOS para os gateways de e-mail seguro da Cisco que também permitia execução remota com privilégios elevados. Esse antecedente demonstra que as infra-estruturas de segurança e comunicações continuam a ser alvos prioritários para atacantes que procuram pontos de entrada persistentes em redes corporativas.

Para obter os detalhes técnicos, as listas de versões afectadas e as ligações de transferência dos adesivos, a fonte primária é o aviso da Cisco, que contém instruções específicas por produto. Os administradores também podem consultar a ficha do CVE no repositório de vulnerabilidades do NIST para informação padronizada e referências cruzadas: NVD - CVE-2026-20045.

Não há que perder de vista que uma exploração bem sucedida contra componentes de telefonia e mensagens pode permitir movimentos laterais dentro da rede, interceptação ou manipulação de comunicações, e em casos extremos servir como ponto de apoio para colocar cargas maliciosas adicionais. Por isso, além de adesivo, é boa prática rever a segmentação de rede, verificar cópias de segurança e garantir que os planos de resposta a incidentes estão atualizados e podem ser ativados rapidamente.

Num mundo cada vez mais conectado, os sistemas de voz e colaboração tendem a ser vistos como infra-estruturas periféricas, mas este episódio lembra que são peças críticas com privilégios e conectividade que podem ser aproveitadas por atacantes. A ação mais efetiva agora é aplicar os adesivos oficiais sem demora e endurecer o acesso aos consoles administrativos até confirmar que todas as instâncias estão atualizadas e monitoradas.