무슨 일이 있었나
2026년 6월 3일 Cisco는 기업용 통화 제어 플랫폼 Cisco Unified Communications Manager(Unified CM) 와 Unified CM SME의 WebDialer 서비스에 있는 SSRF(서버 측 요청 위조) 취약점 CVE-2026-20230을 수정했습니다. 점수는 CVSS 8.6이지만 서버의 완전한 장악(root) 으로 이어질 수 있어 Cisco는 영향도를 Critical로 평가했습니다.
이후 공개 PoC가 나왔습니다. Defused에 따르면 PoC 공개 약 24시간 뒤인 6월 20~22일 주말에 첫 실제 공격이 허니팟에서 관측됐습니다. 6월 24일에는 Tor를 경유한 자동 스캔이 웹셸을 심기 시작했고, CISA는 6월 25일 KEV에 추가했습니다(연방 기한 6월 28일). Cisco도 악용을 확인했습니다.
공격 방식
- 공격자는 로그인 없이 조작된 HTTP 요청을 WebDialer에 보냅니다.
- SSRF로 서버에 가짜 Apache Axis 서비스를 띄우고 파일 쓰기 권한을 얻습니다.
- 이어
/platform-services/axis2-web/에 JSP 웹셸을 심어 명령을 실행하며, root까지 갈 수 있습니다.
핵심 조건: WebDialer가 켜진 시스템만 취약합니다. 기본값은 꺼짐이지만, 번호를 클릭하면 책상 전화가 걸리는 편리한 기능이라 켜 둔 기업이 많습니다.
대응
- Unified CM 14SU6 또는 15SU5로 업데이트하세요(15.x용 임시 COP 패치 있음).
- 당장 어렵다면 WebDialer를 끄세요: Cisco Unified Serviceability > Tools > Service Activation에서 Cisco WebDialer Web Service 체크 해제. Cisco는 다른 우회책은 없다고 밝혔습니다.
- 침해 흔적 점검:
/platform-services/axis2-web/의 예상치 못한 JSP 파일, 테스트 파일/tmp/cve-2026-20230-test.txt, 수상한 WebDialer 요청. - 전화 시스템을 인터넷에 노출하지 마세요.
교훈
전화 같은 "지루한" 시스템도 노출돼 있습니다. 패치에서 대규모 공격까지 3주도 안 걸렸고, PoC에서 첫 공격까지는 하루였습니다.
출처
- Cisco, advisory cisco-sa-cucm-ssrf-cXPnHcW: https://www.cisco.com/c/en/us/support/docs/csa/cisco-sa-cucm-ssrf-cXPnHcW.html
- Cloud Security Alliance, research note: https://labs.cloudsecurityalliance.org/research/csa-research-note-cisco-unified-cm-ssrf-cve-2026-20230-20260/
- Trident Security, "A phone system, one request, and root": https://tridentsecurity.io/blog/cisco-cucm-rce
IP 전화나 인터넷에 노출된 시스템을 운영하시나요? KGA IT가 무료로 점검해 드립니다: kga-it.com