Cisco Unified CM: butas sa WebDialer (CVE-2026-20230), humahantong sa root at sinasamantala (Hunyo 2026)

Ano ang nangyari

Noong Hunyo 3, 2026, inayos ng Cisco ang CVE-2026-20230, isang server-side request forgery (SSRF) sa WebDialer service ng Cisco Unified Communications Manager (Unified CM) at Unified CM SME, ang enterprise call-control platform ng Cisco. CVSS 8.6 ang score nito, pero Critical ang rating ng Cisco sa epekto dahil puwede itong humantong sa buong kontrol (root) ng server.

Sumunod ang isang pampublikong PoC. Ayon sa kumpanyang Defused, tumama ang unang tunay na atake sa mga honeypot noong weekend ng Hunyo 20–22, mga 24 oras matapos ang PoC. Pagsapit ng Hunyo 24, may mga automated na sweep na dumadaan sa Tor at nag-iiwan ng webshell. Idinagdag ito ng CISA sa KEV noong Hunyo 25 na may pederal na deadline na Hunyo 28, at kinumpirma mismo ng Cisco ang pagsasamantala.

Paano gumagana ang atake

• Ang umaatake, nang hindi nagla-login, ay nagpapadala ng binagong HTTP request sa WebDialer.
• Sa pamamagitan ng SSRF, nagtatayo sila ng pekeng Apache Axis service sa server at nakakakuha ng file write.
• Pagkatapos, naglalagay sila ng JSP webshell sa /platform-services/axis2-web/ at nakakapagpatakbo ng mga command, posibleng hanggang root.

Mahalagang kondisyon: ang mga system lang na naka-enable ang WebDialer ang bulnerable. Naka-disable ito bilang default, pero maraming kumpanya ang nag-o-on dahil kapaki-pakinabang ito (i-click ang numero at tatawag ang desk phone).

Ano ang dapat gawin

1. Mag-upgrade sa Unified CM 14SU6 o 15SU5 (may interim COP patch para sa 15.x).
2. Kung hindi pa kaya, i-disable ang WebDialer: Cisco Unified Serviceability > Tools > Service Activation > alisin ang check sa Cisco WebDialer Web Service. Ayon sa Cisco, wala nang ibang workaround.
3. Maghanap ng senyales ng pagpasok: hindi inaasahang JSP file sa /platform-services/axis2-web/, ang test file na /tmp/cve-2026-20230-test.txt at kahina-hinalang request sa WebDialer.
4. Huwag ilantad ang phone system sa internet.

Aral

Nakalantad din ang mga "boring" na system tulad ng telephony. Mula patch hanggang malawakang atake, wala pang tatlong linggo, at mula PoC hanggang unang atake, isang araw.

Mga pinagmulan

• Cisco, advisory cisco-sa-cucm-ssrf-cXPnHcW: https://www.cisco.com/c/en/us/support/docs/csa/cisco-sa-cucm-ssrf-cXPnHcW.html
• Cloud Security Alliance, research note: https://labs.cloudsecurityalliance.org/research/csa-research-note-cisco-unified-cm-ssrf-cve-2026-20230-20260/
• Trident Security, "A phone system, one request, and root": https://tridentsecurity.io/blog/cisco-cucm-rce

---

Gumagamit ba ang kumpanya mo ng IP telephony o ibang system na nakalantad sa internet? Nag-aalok ang KGA IT ng libreng pagsusuri: kga-it.com.