Cisco Unified CM: falla en WebDialer (CVE-2026-20230) lleva a root y se explota (junio de 2026)

Qué pasó

El 3 de junio de 2026, Cisco corrigió la CVE-2026-20230, una falla de SSRF (falsificación de peticiones del lado del servidor) en el servicio WebDialer de Cisco Unified Communications Manager (Unified CM) y Unified CM SME, la centralita corporativa de Cisco. Su puntuación es CVSS 8,6, pero Cisco calificó el impacto como crítico porque puede llevar al control total (root) del servidor.

Después salió un PoC público. Según la firma Defused, los primeros ataques reales llegaron a sus honeypots el fin de semana del 20 al 22 de junio, unas 24 horas tras el PoC. El 24 de junio ya había barridos automáticos vía Tor instalando webshells. La CISA la añadió al KEV el 25 de junio, con plazo federal hasta el 28 de junio, y Cisco confirmó la explotación.

Cómo funciona el ataque

• El atacante, sin iniciar sesión, envía una petición HTTP manipulada al WebDialer.
• Mediante la SSRF instala un servicio Apache Axis falso en el servidor y obtiene escritura de archivos.
• Luego deja un webshell JSP en /platform-services/axis2-web/ y puede ejecutar comandos, potencialmente como root.

Condición clave: solo es vulnerable quien tiene el WebDialer activado. Viene desactivado por defecto, pero muchas empresas lo activan porque es útil (haces clic en un número y llama tu teléfono de mesa).

Qué hacer

1. Actualizar a Unified CM 14SU6 o 15SU5 (hay un parche COP provisional para la 15).
2. Si aún no es posible, desactivar el WebDialer: Cisco Unified Serviceability > Tools > Service Activation > desmarcar Cisco WebDialer Web Service. Según Cisco, no hay otra solución alternativa.
3. Buscar señales de intrusión: archivos JSP inesperados en /platform-services/axis2-web/, el archivo de prueba /tmp/cve-2026-20230-test.txt y peticiones sospechosas al WebDialer.
4. No exponer la centralita a internet.

Lección

Los sistemas "aburridos", como la telefonía, también están expuestos. Del parche al ataque masivo pasaron menos de tres semanas, y del PoC al primer ataque, un día.

Fuentes

• Cisco, advisory cisco-sa-cucm-ssrf-cXPnHcW: https://www.cisco.com/c/en/us/support/docs/csa/cisco-sa-cucm-ssrf-cXPnHcW.html
• Cloud Security Alliance, research note: https://labs.cloudsecurityalliance.org/research/csa-research-note-cisco-unified-cm-ssrf-cve-2026-20230-20260/
• Trident Security, "A phone system, one request, and root": https://tridentsecurity.io/blog/cisco-cucm-rce

---

¿Tu empresa usa telefonía IP u otros sistemas expuestos a internet? KGA IT ofrece una revisión gratuita: kga-it.com.