Cisco ha corregido una vulnerabilidad crítica (CVE-2026-20230) en Unified Communications Manager que permite a atacantes escribir archivos y obtener privilegios de root. El fallo afecta a quienes tengan activo el servicio WebDialer y ya existe un código de prueba público. Se recomienda aplicar los parches disponibles o desactivar dicho servicio para mitigar el riesgo.



 Cisco ha parcheado un error en Unified Communications Manager que permite a un atacante no autenticado en la red escribir archivos en la máquina y, desde ahí, escalar a root.

Se rastrea como CVE-2020-20230, y el código de explotación de prueba de concepto (PoC) ya es público. El PSIRT de Cisco afirma que aún no ha visto que el fallo se utilice en ataques, pero la existencia del PoC reduce ese margen de tiempo.

El fallo es una solicitud de falsificación del lado del servidor (SSRF). Unified CM y su Session Management Edition no validan correctamente ciertas solicitudes HTTP, por lo que una solicitud manipulada puede obligar al servidor a escribir archivos arbitrarios en el sistema operativo subyacente. Esos archivos son la puerta de entrada. Cisco indica que pueden usarse posteriormente para escalar a root, el privilegio más alto del sistema.

Ese proceso de dos pasos es la razón por la cual la puntuación y la calificación discrepan. La base de CVSS es 8.6: puntúa la escritura de archivos (un impacto solo de integridad, sin pérdida de confidencialidad o disponibilidad) pero no la escalada a root posterior. De todos modos, Cisco calificó el aviso como Crítico, ya que el estado final es el acceso total a root.

Hay un factor mitigante: el fallo solo funciona cuando el servicio WebDialer está activo, y WebDialer viene desactivado por defecto. Esto no ayuda a ninguna implementación que lo haya activado.

Para comprobarlo, abre Cisco Unified CM Administration y ve a Cisco Unified Serviceability. En Herramientas > Control Center - Feature Services, busca el estado del servicio web Cisco WebDialer en la sección de Servicios CTI. Si aparece como "Iniciado", estás expuesto.

Parchear es la única solución real. Para la versión 14, es la 14SU6. Para la 15, la actualización de servicio completa (15SU5) no llegará hasta septiembre de 2026, por lo que hasta entonces, debes usar el parche provisional COP o desactivar WebDialer (desmárcalo en Herramientas > Activación de Servicio y guarda). Un investigador independiente que trabaja con SSD Secure Disclosure reportó el error.

Unified CM ha sido una fuente constante de problemas de nivel root sin autenticación. El pasado julio, Cisco eliminó una cuenta de SSH root codificada que quedó olvidada desde el desarrollo (CVE-2025-20309, CVSS 10).

En enero, parcheó una RCE no autenticada en varios de sus productos de voz (CVE-2026-20045) que ya estaba siendo explotada, lo suficiente para que CISA la añadiera a su lista de vulnerabilidades explotadas conocidas.

Esta última encaja en el patrón: una solicitud que nunca debería haber llegado a nada sensible, llega. Con un PoC público y la corrección de la versión 15 a meses de distancia, asume que alguien convertirá esa escritura de archivos en un ataque funcional antes de que los parches estén en todas partes.

Fuente:
THN