2025年7月、Ciscoは「Unified Communications Manager（Unified CM）」および「Unified CM Session Management Edition（Unified CM SME）」において、開発用の静的なrootアカウントが削除できないまま残っていたという深刻なセキュリティ脆弱性（CVE-2025-20309）を公開し、緊急パッチをリリースしました。
この脆弱性は、認証不要かつリモートからのrootログインが可能というもので、CVSS v3スコアは最高評価の10.0（Critical）。
被害が発生すれば、システムの完全な制御を奪われる可能性があり、即時の対応が必要です。
脆弱性の対象バージョン
この脆弱性が確認されたのは、Unified CMおよびUnified CM SMEのESリリース 15.0.1.13010-1 ～ 15.0.1.13017-1です。
これらのバージョンは、通常の一般提供ではなく、TAC（テクニカルアシスタンスセンター）経由で個別提供された「限定修正バージョン」です。
なお、12.5系および14系のリリースは影響を受けません。
対策バージョンとCiscoの対応
Ciscoは、修正済みバージョン（15SU3）および個別パッチファイル（ciscocm.CSCwp27755_D0247-1.cop.sha512）をすでに提供しています。
この脆弱性に対して有効な回避策は存在しないため、該当バージョンを利用している場合は、即時アップグレードが必要です。
Ciscoの公式アドバイザリでは、侵害の兆候（IoC）として /var/log/active/syslog/secure に記録される sshd ログへのrootアクセス成功記録を挙げており、ログ確認による影響判定も推奨されています。
脆弱性の内容と影響
問題の本質は、Unified CMの一部バージョンにおいて、root権限を持つユーザーアカウントが開発時のまま静的に残されていたことにあります。
このアカウントは、パスワードを変更することも削除することもできず、攻撃者がこれを利用することで完全な管理者権限でシステムにアクセス可能となります。攻撃者は次のようなことが実行可能です
-
管理者権限で任意コマンドの実行
-
システム設定の変更やサービスの停止
-
他のネットワーク機器やサービスへの攻撃拠点化
関連記事
Cisco、ISEおよび統合管理製品に深刻な脆弱性を修正(CVE-2025-20152,CVE-2025-20113)
Tableau Server/Desktopに複数の深刻な脆弱性-CVE-2025-26496など修正済み
Jenkins、複数プラグインの深刻な脆弱性を修正(CVE-2025-47889,CVE-2025-47884,CVE-2025-47885)
OpenSSLが3件の脆弱性を同時公開(CVE-2025-9230 / -9231 / -9232)
2024年のゼロデイ攻撃は一般消費者向けソフトウェアからエンタープライズ ベンダーへ移行-Google調査
Next.jsにキャッシュポイズニング脆弱性(CVE-2025-49826)
Cisco ASA/Firepowerの脆弱性がゼロデイ サイバー 攻撃への悪用を確認-早期対処を推奨(CVE-2025-20333,CVE-2025-20362)
Cisco、IOS XE Wireless LANコントローラーの脆弱性に対する詳細解説が公開(CVE-2025-20188)
Cisco ISEクラウド版で危険度の高い脆弱性(CVE-2025-20286)-リモート攻撃で設定改ざんやサービス妨害の恐れ
