何が起きたのか
2026年6月3日、Ciscoは企業向け電話基盤Cisco Unified Communications Manager（Unified CM）およびUnified CM SMEのWebDialerサービスにあるSSRF（サーバーサイドリクエストフォージェリ）の脆弱性CVE-2026-20230を修正しました。スコアはCVSS 8.6ですが、サーバーの完全な制御（root）につながり得るため、Ciscoは影響度をCriticalとしています。
その後公開PoCが登場。Defused社によると、PoC公開から約24時間後の6月20〜22日の週末に、初の実攻撃がハニーポットで観測されました。6月24日にはTor経由の自動スキャンでWebシェルが設置されるようになり、CISAは6月25日にKEVへ追加（連邦機関の期限は6月28日）。Cisco自身も悪用を確認しました。
攻撃の仕組み
- 攻撃者はログインなしで、細工したHTTPリクエストをWebDialerに送信
- SSRFを使ってサーバー上に偽のApache Axisサービスを立ち上げ、ファイル書き込みを獲得
/platform-services/axis2-web/にJSPのWebシェルを設置し、コマンドを実行。root権限に至る可能性も
重要な条件： 脆弱なのはWebDialerを有効にしている環境だけです。初期設定では無効ですが、番号をクリックすると卓上電話が発信できる便利機能のため、有効にしている企業も多くあります。
対策
- Unified CM 14SU6または15SU5にアップデートする（15系には暫定COPパッチあり）
- すぐに適用できない場合はWebDialerを無効化：Cisco Unified Serviceability > Tools > Service Activation で Cisco WebDialer Web Service のチェックを外す。Ciscoによると他の回避策はありません
- 侵害の痕跡を調査：
/platform-services/axis2-web/内の不審なJSPファイル、テスト用ファイル/tmp/cve-2026-20230-test.txt、WebDialerへの不審なアクセス - 電話システムをインターネットに公開しない
教訓
電話のような「地味な」システムも狙われます。パッチから大規模攻撃まで3週間足らず、PoCから最初の攻撃までは1日でした。
出典
- Cisco, advisory cisco-sa-cucm-ssrf-cXPnHcW: https://www.cisco.com/c/en/us/support/docs/csa/cisco-sa-cucm-ssrf-cXPnHcW.html
- Cloud Security Alliance, research note: https://labs.cloudsecurityalliance.org/research/csa-research-note-cisco-unified-cm-ssrf-cve-2026-20230-20260/
- Trident Security, "A phone system, one request, and root": https://tridentsecurity.io/blog/cisco-cucm-rce
IP電話やインターネット公開システムを運用していますか。KGA ITでは無料の点検を行っています：kga-it.com