Cisco Unified CM: falha no WebDialer (CVE-2026-20230) leva a root e é explorada (junho de 2026)

O que aconteceu

Em 3 de junho de 2026, a Cisco corrigiu a CVE-2026-20230, uma falha de SSRF (falsificação de requisição do lado do servidor) no serviço WebDialer do Cisco Unified Communications Manager (Unified CM) e do Unified CM SME, a central de telefonia corporativa da Cisco. A nota é CVSS 8,6, mas a Cisco classificou o impacto como crítico porque a falha pode levar ao controle total (root) do servidor.

Um PoC público saiu em seguida. Segundo a empresa Defused, os primeiros ataques reais apareceram nos honeypots no fim de semana de 20 a 22 de junho, cerca de 24 horas depois do PoC. Em 24 de junho, já havia varreduras automáticas via Tor instalando webshells. A CISA incluiu a falha no KEV em 25 de junho, com prazo federal até 28 de junho, e a própria Cisco confirmou a exploração.

Como funciona o ataque

• O atacante, sem login, envia uma requisição HTTP manipulada ao WebDialer.
• Pela SSRF, ele instala um serviço Apache Axis falso no servidor e ganha gravação de arquivos.
• Em seguida, grava um webshell JSP em /platform-services/axis2-web/ e passa a executar comandos, podendo chegar a root.

Condição importante: só é vulnerável quem tem o WebDialer ativado. Ele vem desativado por padrão, mas muitas empresas ligam porque é útil (clicar num número e o telefone de mesa liga).

O que fazer

1. Atualizar para o Unified CM 14SU6 ou 15SU5 (há um patch COP provisório para a versão 15).
2. Se não der agora, desativar o WebDialer: Cisco Unified Serviceability > Tools > Service Activation > desmarcar Cisco WebDialer Web Service. Segundo a Cisco, não há outra solução alternativa.
3. Procurar sinais de invasão: arquivos JSP inesperados em /platform-services/axis2-web/, o arquivo de teste /tmp/cve-2026-20230-test.txt e acessos suspeitos ao WebDialer.
4. Não expor a central telefônica à internet.

Lição

Sistemas "chatos", como a telefonia, também ficam expostos. Do patch ao ataque em massa passaram menos de três semanas, e do PoC ao primeiro ataque, um dia.

Fontes

• Cisco, advisory cisco-sa-cucm-ssrf-cXPnHcW: https://www.cisco.com/c/en/us/support/docs/csa/cisco-sa-cucm-ssrf-cXPnHcW.html
• Cloud Security Alliance, research note: https://labs.cloudsecurityalliance.org/research/csa-research-note-cisco-unified-cm-ssrf-cve-2026-20230-20260/
• Trident Security, "A phone system, one request, and root": https://tridentsecurity.io/blog/cisco-cucm-rce

---

Sua empresa usa telefonia IP ou outros sistemas expostos à internet? A KGA IT faz uma revisão gratuita: kga-it.com.