CISA ha incluido en su catálogo de vulnerabilidades explotadas una falla crítica de falsificación de solicitudes del lado del servidor (SSRF) que afecta a Cisco Unified Communications Manager (Unified CM). Esta vulnerabilidad, identificada como CVE-2026-20230, permite que atacantes remotos no autenticados realicen ataques SSRF, por lo que se insta a las organizaciones y agencias federales a aplicar los parches de seguridad de inmediato debido a que ya se están registrando explotaciones activas.

CISA ha añadido una vulnerabilidad crítica de falsificación de solicitudes del lado del servidor (SSRF) que afecta a Cisco Unified Communications Manager (Unified CM) a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), instando a las agencias federales y organizaciones a aplicar los parches inmediatamente ante la explotación activa detectada.

El fallo, rastreado como CVE-2026-20230, permite que atacantes remotos no autenticados realicen ataques de falsificación de solicitudes del lado del servidor (SSRF), un vector de amenaza cada vez más utilizado para ganar un control profundo en la infraestructura empresarial.

La vulnerabilidad permite que un atacante remoto y no autenticado lleve a cabo ataques de SSRF contra el sistema afectado sin requerir ninguna credencial.

Fundamentalmente, una explotación exitosa podría permitir a los atacantes escribir archivos arbitrarios en el sistema operativo subyacente, estableciendo un punto de apoyo que posteriormente podría aprovecharse para escalar privilegios hasta el nivel de root, otorgando el control total sobre el host afectado.

La vulnerabilidad fue añadida al catálogo KEV de CISA el 25 de junio de 2026, con una fecha límite de remediación obligatoria del 28 de junio de 2026, lo que refleja el riesgo urgente que supone su explotación activa.

Vulnerabilidad de Cisco Unified CM

Las vulnerabilidades SSRF son particularmente peligrosas en la infraestructura de comunicaciones empresariales porque permiten a los atacantes abusar de la funcionalidad del lado del servidor para interactuar con sistemas internos, saltarse los controles de red y alcanzar servicios que, de otro modo, estarían aislados.

En este caso, la capacidad de escritura de archivos transforma lo que podría parecer un fallo de alcance limitado en un vector serio de compromiso remoto previo a la autenticación.

Un atacante podría diseñar solicitudes maliciosas para obligar al servidor Unified CM a escribir contenido controlado por el atacante en ubicaciones sensibles del sistema de archivos.

Estos archivos implantados podrían entonces activarse o aprovecharse en etapas posteriores del ataque para lograr la escalada de privilegios y un acceso persistente a nivel de root, una cadena de explotación multietapa clásica observada comúnmente en escenarios de brechas empresariales.

Aunque CISA actualmente enumera la asociación con campañas de ransomware como desconocida, la naturaleza de la vulnerabilidad —acceso no autenticado combinado con el potencial de escritura de archivos y escalada de privilegios— la convierte en un objetivo de alto valor para operadores de ransomware y grupos de amenazas persistentes avanzadas (APT) que atacan plataformas de comunicación empresarial.

Productos Afectados

• Cisco Unified Communications Manager (Unified CM)
• Cisco Unified Communications Manager Session Management Edition (Unified CM SME)

Si manejas cualquiera de estos productos en entornos expuestos a internet o híbridos, debes tratar la remediación como una prioridad de emergencia.

CISA ha indicado a las organizaciones afectadas que tomen las siguientes medidas, de acuerdo con la Directiva Operativa Vinculante (BOD) 26-04, que regula las actualizaciones de seguridad priorizadas basadas en el riesgo:

• Aplica inmediatamente las mitigaciones emitidas por el proveedor según el aviso de seguridad oficial de Cisco en cisco-sa-cucm-ssrf-cXPnHcW
• Realiza un triaje forense de acuerdo con los Requisitos de Triaje Forense de CISA para identificar posibles indicadores de un compromiso previo
• Evalúa la exposición a internet de todos los activos afectados y asegura el cumplimiento de los plazos de parcheo de la BOD 26-04
• Deja de usar el producto si las mitigaciones no pueden aplicarse dentro del plazo prescrito
• Para despliegues de servicios en la nube, sigue la guía de nube aplicable de la BOD 26-04

Se recomienda encarecidamente a los equipos de seguridad que auditen los registros de Unified CM en busca de solicitudes salientes anómalas o modificaciones inesperadas del sistema de archivos como medidas inmediatas tras la detección.

Fuentes:
https://cybersecuritynews.com/cisco-unified-cm-vulnerability-2/