# CVE-2026-20045 - Cisco Unified Commúnications SQL Injection com Escalação a Root > [!high] > Vulnerabilidade de injeção SQL na interface web de gerenciamento da família Cisco Unified Commúnications que permite escalação de privilégios a root. Adicionada ao catálogo KEV da CISA em 21 de janeiro de 2026 com indicação de exploração ativa. Afeta soluções de comunicação corporativa amplamente implantadas em empresas e governo. ## Visão Geral CVE-2026-20045 é uma vulnerabilidade crítica de **injeção SQL** na interface web de gerenciamento da família [[_cisco|Cisco]] Unified Commúnications. A falha permite que um atacante autenticado com baixo nível de privilégio injete comandos SQL maliciosos que, em determinadas condições, resultam em escalação completa de privilégios até o nível root do sistema operacional subjacente. O vetor de ataque remoto via interface web de gerenciamento amplifica o risco em ambientes onde essa interface está exposta à rede corporativa ou, em configurações inadequadas, à internet. Os produtos afetados - Unified Commúnications Manager (Unified CM), IM & Presence Service, Unity Connection e Webex Calling - são soluções de comunicação unificada utilizadas em larga escala por organizações corporativas, governamentais e de telecomúnicações. O CVSS base score de 8.2 reflete a combinação de acesso remoto, baixo nível de privilégio requerido e alto impacto de confidencialidade e integridade. A CISA adicionou esta vulnerabilidade ao catálogo Known Exploited Vulnerabilities (KEV) em 21 de janeiro de 2026 com prazo de remediação até 11 de fevereiro de 2026, confirmando exploração ativa na natureza. Pesquisadores de segurança e fontes de inteligência de ameaças indicam que atores de espionagem com nexo estatal, possívelmente chineses, exploram esta vulnerabilidade em campanhas direcionadas a organizações de telecomúnicações e governamentais. A natureza dos produtos afetados torna a exploração particularmente atrativa para operações de intercepção de comúnicações e coleta de inteligência. > [!latam] > A família **Cisco Unified Commúnications** é amplamente implantada em empresas brasileiras e latino-americanas, especialmente no setor financeiro, governamental e de telecomúnicações. Operadoras como Claro, Vivo e TIM utilizam produtos Cisco em sua infraestrutura. Órgãos do governo federal brasileiro e estaduais com implantações de Unified CM estão em risco direto. Organizações devem priorizar a remediação e restringir acesso à interface de gerenciamento por IP de origem imediatamente. ## Cadeia de Exploração ```mermaid graph TB ATK["Atacante<br/>Credenciais de baixo privilégio"] -->|"Acesso à interface web de gerenciamento"| UCM["Cisco Unified CM<br/>Interface de Administração Web"] UCM -->|"Injeção SQL em parâmetro vulnerável"| DB["Banco de Dados Interno<br/>Exfiltração / Manipulação"] DB -->|"Escalação via SQL para sistema"| ROOT["Privilégios Root<br/>Controle total do appliance"] ROOT -->|"Persistência e movimentação"| NET["Infraestrutura de Comunicações<br/>Intercepção / Espionagem"] ``` ## Produtos Afetados | Produto | Versões Afetadas | Versão Corrigida | |---------|-----------------|-----------------| | Cisco Unified Commúnications Manager (CM) | 14.0 e anteriores | 14.0 SU3+ | | Cisco Unified CM IM & Presence Service | 14.0 e anteriores | 14.0 SU3+ | | Cisco Unity Connection | 14.0 e anteriores | 14.0 SU3+ | | Cisco Webex Calling (on-premises) | Versões afetadas | Atualização disponível | ## Detalhes Técnicos A vulnerabilidade reside na válidação insuficiente de entrada em parâmetros de consulta da interface web de gerenciamento administrativa do Cisco Unified CM. Um atacante com acesso autenticado à interface pode manipular campos de busca ou filtros para injetar sintaxe SQL arbitrária no contexto das consultas ao banco de dados Informix subjacente. A escalação a root ocorre quando a injeção SQL permite executar procedimentos armazenados privilegiados ou comandos do sistema operacional via funcionalidades específicas do banco de dados, transitando do contexto da aplicação web para privilégios de sistema. O acesso root ao appliance permite: - Leitura de arquivos de configuração contendo credenciais e chaves criptográficas - Modificação de configurações de roteamento de chamadas para intercepção - Implantação de backdoors persistentes no sistema operacional base - Acesso a registros de chamadas, metadados e potencialmente conteúdo de comúnicações **TTPs relacionadas:** - [[t1190-exploit-public-facing-application|T1190 - Exploit Public-Facing Application]] - exploração da interface web administrativa - [[t1068-exploitation-for-privilege-escalation|T1068 - Exploitation for Privilege Escalation]] - escalação SQL para root - [[t1505-003-web-shell|T1505.003 - Web Shell]] - possível persistência pós-exploração - [[t1119-automated-collection|T1119 - Automated Collection]] - coleta automatizada de metadados de comúnicações ## Mitigação **Patch oficial:** - Aplicar atualização cumulativa Unified CM 14.0 SU3 ou superior - Verificar disponibilidade de patches para todas as versões afetadas no Cisco Security Advisory **Controles imediatos (pré-patch):** 1. Restringir acesso à interface web de administração por endereço IP de origem (allowlist) 2. Desabilitar acesso externo à interface administrativa - nunca expor à internet 3. Implementar autenticação multifator (MFA) para todas as contas administrativas 4. Auditar logs de acesso à interface administrativa buscando padrões de injeção SQL 5. Monitorar processos filhos do servidor web em busca de execução anômala **Detecção:** - Analisar logs do Unified CM Admin em busca de caracteres SQL especiais em parâmetros (`'`, `--`, `UNION`, `SELECT`) - Monitorar escalação de privilégios em processos do appliance - Verificar integridade de arquivos de configuração do Unified CM ## Referências - [The Hacker News - Cisco Zero-Day](https://thehackernews.com/2026/01/cisco-fixes-actively-exploited-zero-day.html) - [BleepingComputer - Unified Commúnications RCE](https://www.bleepingcomputer.com/news/security/cisco-fixes-unified-communications-rce-zero-day-exploited-in-attacks/) - [CISA KEV - CVE-2026-20045](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) - [Cisco Security Advisory](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ucm-sqli-CVE-2026-20045) ## Notas Relacionadas - [[_cisco|Cisco]] - vendor afetado, ampla implantação global e LATAM - [[t1190-exploit-public-facing-application|T1190 - Exploit Public-Facing Application]] - técnica de exploração via interface web - [[t1068-exploitation-for-privilege-escalation|T1068 - Exploitation for Privilege Escalation]] - escalação SQL para root - [[government|Governo]] - setor prioritariamente afetado com implantações Unified CM - [[technology|Tecnologia Corporativa]] - infraestrutura de comúnicações empresarial - [[telecommunications|Telecomúnicações]] - operadoras com implantações Cisco vulneráveis