发生了什么
2026年6月3日，Cisco修复了企业通话控制平台Cisco Unified Communications Manager（Unified CM）及Unified CM SME中WebDialer服务的SSRF（服务器端请求伪造）漏洞CVE-2026-20230。其评分为CVSS 8.6，但因可导致服务器被完全控制（root），Cisco将影响评级定为严重。
随后出现了公开PoC。据Defused公司称，PoC公开约24小时后，即6月20日至22日的周末，其蜜罐首次捕获到真实攻击。到6月24日，已出现经由Tor的自动化扫描并植入webshell。CISA于6月25日将其列入KEV，联邦期限为6月28日，Cisco本身也确认了漏洞遭利用。
攻击原理
- 攻击者无需登录，向WebDialer发送构造的HTTP请求。
- 借助SSRF在服务器上部署伪造的Apache Axis服务，获得文件写入能力。
- 然后在
/platform-services/axis2-web/下植入JSP webshell并执行命令，可能提升至root。
关键条件：只有启用了WebDialer的系统才受影响。该功能默认关闭，但由于点击号码即可让桌面电话拨号，很多企业会开启。
应对措施
- 升级到Unified CM 14SU6或15SU5（15.x有临时COP补丁）。
- 若暂时无法升级，禁用WebDialer：Cisco Unified Serviceability > Tools > Service Activation，取消勾选Cisco WebDialer Web Service。Cisco表示没有其他变通办法。
- 排查入侵迹象：
/platform-services/axis2-web/下的异常JSP文件、测试文件/tmp/cve-2026-20230-test.txt以及可疑的WebDialer请求。 - 不要将电话系统暴露在互联网上。
教训
像电话这样"不起眼"的系统同样会被攻击。从补丁到大规模攻击不到三周，从PoC到首次攻击只有一天。
来源
- Cisco, advisory cisco-sa-cucm-ssrf-cXPnHcW: https://www.cisco.com/c/en/us/support/docs/csa/cisco-sa-cucm-ssrf-cXPnHcW.html
- Cloud Security Alliance, research note: https://labs.cloudsecurityalliance.org/research/csa-research-note-cisco-unified-cm-ssrf-cve-2026-20230-20260/
- Trident Security, "A phone system, one request, and root": https://tridentsecurity.io/blog/cisco-cucm-rce
贵公司是否运行IP电话或其他面向互联网的系统？KGA IT提供免费检查：kga-it.com