Cisco Unified CM: kelemahan WebDialer (CVE-2026-20230) membawa ke root dan dieksploitasi (Jun 2026)

Apa yang berlaku

Pada 3 Jun 2026, Cisco membaiki CVE-2026-20230, kelemahan SSRF (pemalsuan permintaan sisi pelayan) dalam perkhidmatan WebDialer pada Cisco Unified Communications Manager (Unified CM) dan Unified CM SME, platform kawalan panggilan korporat Cisco. Skornya CVSS 8.6, tetapi Cisco menilai impaknya Kritikal kerana ia boleh membawa kepada kawalan penuh (root) pelayan.

PoC awam muncul kemudian. Menurut firma Defused, serangan sebenar pertama mengenai honeypot pada hujung minggu 20–22 Jun, kira-kira 24 jam selepas PoC. Menjelang 24 Jun, imbasan automatik melalui Tor memasang webshell. CISA menambahnya ke KEV pada 25 Jun dengan tarikh akhir persekutuan 28 Jun, dan Cisco sendiri mengesahkan eksploitasi.

Cara serangan berfungsi

• Penyerang, tanpa log masuk, menghantar permintaan HTTP yang dimanipulasi ke WebDialer.
• Melalui SSRF, mereka memasang perkhidmatan Apache Axis palsu pada pelayan dan mendapat keupayaan menulis fail.
• Kemudian mereka meletakkan webshell JSP di /platform-services/axis2-web/ dan boleh menjalankan arahan, berpotensi hingga root.

Syarat utama: hanya sistem dengan WebDialer diaktifkan yang terdedah. Ia dinyahaktifkan secara lalai, tetapi banyak syarikat menghidupkannya kerana berguna (klik nombor dan telefon meja mendail).

Apa yang perlu dilakukan

1. Naik taraf ke Unified CM 14SU6 atau 15SU5 (tampalan COP sementara tersedia untuk 15.x).
2. Jika belum boleh, nyahaktifkan WebDialer: Cisco Unified Serviceability > Tools > Service Activation > nyahtanda Cisco WebDialer Web Service. Menurut Cisco, tiada penyelesaian lain.
3. Cari tanda pencerobohan: fail JSP yang tidak dijangka di /platform-services/axis2-web/, fail ujian /tmp/cve-2026-20230-test.txt dan permintaan WebDialer yang mencurigakan.
4. Jangan dedahkan sistem telefon ke internet.

Pengajaran

Sistem "membosankan" seperti telefoni juga terdedah. Dari tampalan ke serangan besar-besaran mengambil kurang tiga minggu, dan dari PoC ke serangan pertama, sehari.

Sumber

• Cisco, advisory cisco-sa-cucm-ssrf-cXPnHcW: https://www.cisco.com/c/en/us/support/docs/csa/cisco-sa-cucm-ssrf-cXPnHcW.html
• Cloud Security Alliance, research note: https://labs.cloudsecurityalliance.org/research/csa-research-note-cisco-unified-cm-ssrf-cve-2026-20230-20260/
• Trident Security, "A phone system, one request, and root": https://tridentsecurity.io/blog/cisco-cucm-rce

---

Syarikat anda menggunakan telefoni IP atau sistem lain yang terdedah ke internet? KGA IT menawarkan semakan percuma: kga-it.com.