Cisco Unified CM: lỗ hổng WebDialer (CVE-2026-20230) dẫn tới root và bị khai thác (6/2026)

Chuyện gì đã xảy ra

Ngày 3/6/2026, Cisco vá CVE-2026-20230, lỗ hổng SSRF (giả mạo yêu cầu phía máy chủ) trong dịch vụ WebDialer của Cisco Unified Communications Manager (Unified CM) và Unified CM SME, nền tảng tổng đài doanh nghiệp của Cisco. Điểm CVSS 8,6, nhưng Cisco đánh giá mức ảnh hưởng là nghiêm trọng vì có thể dẫn tới kiểm soát hoàn toàn (root) máy chủ.

Sau đó xuất hiện PoC công khai. Theo công ty Defused, các cuộc tấn công thật đầu tiên chạm vào honeypot vào cuối tuần 20–22/6, khoảng 24 giờ sau PoC. Đến 24/6, đã có quét tự động qua Tor cài webshell. CISA đưa lỗ hổng vào KEV ngày 25/6 với hạn liên bang 28/6, và chính Cisco xác nhận bị khai thác.

Cách tấn công diễn ra

• Kẻ tấn công, không cần đăng nhập, gửi yêu cầu HTTP được chế tác tới WebDialer.
• Qua SSRF, chúng dựng dịch vụ Apache Axis giả trên máy chủ và có quyền ghi tệp.
• Sau đó cài webshell JSP vào /platform-services/axis2-web/ và chạy lệnh, có thể leo lên root.

Điều kiện then chốt: chỉ hệ thống bật WebDialer mới bị ảnh hưởng. Tính năng này tắt mặc định, nhưng nhiều công ty bật vì tiện (nhấp vào số là điện thoại bàn tự gọi).

Cần làm gì

1. Nâng cấp lên Unified CM 14SU6 hoặc 15SU5 (có bản vá COP tạm thời cho 15.x).
2. Nếu chưa thể, tắt WebDialer: Cisco Unified Serviceability > Tools > Service Activation > bỏ chọn Cisco WebDialer Web Service. Theo Cisco, không có cách tạm thời nào khác.
3. Tìm dấu hiệu xâm nhập: tệp JSP lạ trong /platform-services/axis2-web/, tệp thử /tmp/cve-2026-20230-test.txt và yêu cầu đáng ngờ tới WebDialer.
4. Không mở hệ thống điện thoại ra internet.

Bài học

Những hệ thống "nhàm chán" như tổng đài cũng bị phơi nhiễm. Từ bản vá tới tấn công hàng loạt chưa đầy ba tuần, từ PoC tới cuộc tấn công đầu tiên chỉ một ngày.

Nguồn

• Cisco, advisory cisco-sa-cucm-ssrf-cXPnHcW: https://www.cisco.com/c/en/us/support/docs/csa/cisco-sa-cucm-ssrf-cXPnHcW.html
• Cloud Security Alliance, research note: https://labs.cloudsecurityalliance.org/research/csa-research-note-cisco-unified-cm-ssrf-cve-2026-20230-20260/
• Trident Security, "A phone system, one request, and root": https://tridentsecurity.io/blog/cisco-cucm-rce

---

Công ty bạn dùng điện thoại IP hay hệ thống khác công khai trên internet? KGA IT kiểm tra miễn phí: kga-it.com.