Cisco Unity Connection: Mehrere Schwachstellen
WID-SEC-2026-1149 · primera publicación 16.04.2026 · actualizado 16.04.2026 · CVSS 6,5
De qué se trata
Cisco Unity Connection ist ein umfangreiches Voicemail und Integrated-Messaging- Produkt. Mit Cisco Unity Connection können Benutzer mit dem Cisco Unified Personal Communicator auf ihre Sprachnachrichten zugreifen, das Display ihres Cisco Unified IP-Telefons nutzen, um Sprachnachrichten anzuzeigen, zu sortieren und wiederzugeben, und sogar die Sprachsteuerung von Cisco Unity Connection verwenden, um auf Cisco Unified MeetingPlace Express Meetings zuzugreifen. Ein Angreifer kann mehrere Schwachstellen in Cisco Unity Connection ausnutzen, um Cross-Site-Scripting-Angriffe durchzuführen, Benutzer auf bösartige Websites umzuleiten, Daten zu manipulieren und vertrauliche Informationen offenzulegen.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- Cross-Site-Scripting-Angriffe durchzuführen
- Benutzer auf bösartige Websites umzuleiten
- Daten zu manipulieren
- vertrauliche Informationen offenzulegen
¿Me afecta?
Afectados según el BSI:
- Cisco Unity Connection <14SU6
- Cisco Unity Connection <15SU4
- Cisco Unity Connection <14SU5
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Cisco Unity Connection 14SU6
- Cisco Unity Connection 15SU4
- Cisco Unity Connection 14SU5
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- Cisco Security Advisory cisco-sa-unity-file-download-RmKEVWPx vom 2026-04-15 sec.cloudapps.cisco.com
- Cisco Security Advisory cisco-sa-unity-vulns-n2EJSbbw vom 2026-04-15 sec.cloudapps.cisco.com
CVE: CVE-2026-20078, CVE-2026-20081, CVE-2026-20059, CVE-2026-20060, CVE-2026-20061
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.